当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-017894

漏洞标题:朵朵网-时尚购物修改任意用户资料

相关厂商:朵朵网-时尚购物

漏洞作者: xfkxfk

提交时间:2013-01-25 21:10

修复时间:2013-03-11 21:11

公开时间:2013-03-11 21:11

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-25: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-03-11: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

朵朵网-时尚购物可修改任意用户资料,如修改收货地址,个人资料等。。。
你说严重不?我也不知道,所以提交了。。。

详细说明:

测试环境:

攻击者:xfkxfk
受害者:test,收货地址编号1794。


1、攻击者xfkxfk可以有自己的收货地址,在修改自己得收货地址时,只要修改url后面的收货地址编号为受害者编号就能进行修改。

===修改任意用户收货地址。===


受害者test收货地址信息如下:

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html


.jpg


攻击者xfkxfk修改受害者test的收货地址信息url:

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html


.jpg


2、除了可以修改地址还可以进行其他设置。

删除收货地址信息url:
http://www.duoduo.com.cn/?member-1794-delRec.html


设置地址为收货人默认地址url:
http://www.duoduo.com.cn/?member-1794-2-setDefault.html


3、验证危害:

a、这里我们可以看到注册用户的详细收货信息,已经是敏感信息泄露了。
b、更重要的是,我把地址修改成我的,并且在这里我们可以把它设为默认收货地址,大意的用户只要选择默认收货地址我就可以再家里坐等收货了。。。
c、这里我什么也没做,只是测试了一下,不要封我号啦。。。


4、

=====修改结果见漏洞证明=====

漏洞证明:

1.jpg


2.jpg

修复方案:

控制用户权限。
隐藏用户信息。

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝