漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025099
漏洞标题：TCL碰碰mall员工帐号泄漏
相关厂商：TCL官方网上商城
漏洞作者： 柯腾
提交时间：2013-06-03 22:27
修复时间：2013-06-08 22:28
公开时间：2013-06-08 22:28
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-03： 细节已通知厂商并且等待厂商处理中
2013-06-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
看到redrain有节操提交的TCL内部员工商城用户信息外泄我也去TCL路过看了看，也发现了个信息泄漏的，不知道有没有和他的重复，我把我的提交上来，管理员看看~~~
详细说明：
①.百度搜索TCL内部商城
得知“TCL内部员工网:http://www.mypengpeng.com”
②.打开网站
得知登录只需要员工姓名和邮箱，那么去查询域名whois信息
得知域名注册人姓名：jianmin huang（翻译成汉字“黄建民”）邮箱：[email protected]
③.去网站登录
真实姓名：黄建民
邮箱：[email protected]
但是提示我，请输入一个有效的TCL集团邮箱地址！
TCL集团邮箱，应该后缀是TCL.COM把kuyumall.com换成TCL.COM，也就是邮箱为：[email protected]，再去登录，成功进入！
漏洞证明：
修复方案：
建议在原基础上，增加一个密码验证，也就是登录需要输入姓名，邮箱，密码；
或者把登录的，姓名和邮箱更换为姓名和密码
嘿嘿嘿，说实话，俺想要个冰淇淋~~~
版权声明：转载请注明来源 柯腾@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-06-08 22:28
厂商回复：
最新状态：
2013-06-19：抱歉，不知道咋回事主动忽略了，刚刚注册了乌云不太清楚整个流程。这个内部商城其实也属于我们部门管理的，大家有什么漏洞都可以提出来，必须认真对待！感谢大家的支持哦~^_^