漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-022191
漏洞标题：新浪微博可以不知道他人密码，直接用他人账号发微博
相关厂商：新浪
漏洞作者： 飞黎
提交时间：2013-04-20 14:19
修复时间：2013-04-23 14:04
公开时间：2013-04-23 14:04
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-20： 细节已通知厂商并且等待厂商处理中
2013-04-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
新浪可以不知道他人密码，直接用他人账号发微博
我不是程序员，只是个产品经理。所以，这个bug不需要会代码，完全不需要会代吗！
详细说明：
1.google搜索：gsid site:weibo.com
2.chrome浏览器访问http://weibo.cn/?tf=5_009&gsid=[这里填搜到的gsid]
3.前面的tf=5_009是固定的，不用管
4.是什么泄露了gsid，答案：新浪微盘
漏洞证明：
修复方案：
版权声明：转载请注明来源 飞黎@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-04-23 14:04
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
2013-04-23：这个明明确认了，麻烦乌云君看下怎么回事？PS：关于gsid的安全问题之前在wooyun有被白帽子报告过，在这里再次感谢之前报告过的白帽子们和这次报告的白帽子飞黎。gsid由于设计之初存在安全隐患以及在后期整改中要考虑对业务的影响，所以修复进度一直很慢，不过我们在近期在该问题上会下大力度推进修复，再次感谢白帽子对该问题的关注。