漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0164517
漏洞标题：苏宁SRC某处越权可查看敏感信息
相关厂商：江苏苏宁易购电子商务有限公司
漏洞作者： myhalo
提交时间：2015-12-25 12:08
修复时间：2016-02-07 17:56
公开时间：2016-02-07 17:56
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-25： 细节已通知厂商并且等待厂商处理中
2015-12-25： 厂商已经确认，细节仅向厂商公开
2016-01-04： 细节向核心白帽子及相关领域专家公开
2016-01-14： 细节向普通白帽子公开
2016-01-24： 细节向实习白帽子公开
2016-02-07： 细节向公众公开
简要描述：
昨天苏宁src事件http://weibo.com/2052985330/D9UaEAf9S 官方还不出来辟谣。
那今天就从src本身漏洞看看背后的黑幕！
越权的地方很多，但是只提交这一处，别的交给你们内部所谓的安全团队吧，我挖洞也累！
http://security.suning.com/ssrc-web/private/messageDetail.do?id=5100
详细说明：
苏宁src一处越权，查看所有信息，包含什么时间什么人提交了漏洞，以及多少个漏洞，什么洞，什么时间通过审核！
我不告诉你还能更新、增加、删除、更改、回复信息的，苏宁src内部团队这么屌应该能自己找出来！（内部已知悉，臣妾做不到啊！）
如下图：
先登录下你的账户，然后就可以越权了~~~
漏洞证明：
将漏洞标题整理了下并结合公布的积分做分析后结果如下：
大耗子大神，9月份所有的漏洞加起来278积分，其中一个是苏宁后台getshell！
但是伊子木木十月份提交这么多加起来也就才24，看清楚同样有个员工信息泄露！
我们老大2个注入一个任意下载也就才10分
原以为漏洞真的和别人重复了，汇总下标题，除了下图就找不到其他类似的了，难道人家苏宁src内部还有专用的安全团队src？
看完我能不能这样想：
某领导要过年了，整了个src坑了一堆白帽子，变相给部门牟年底福利？ 这感觉是在坑上级领导。
修复方案：
重要的是修人！我就想不明白你们内部人的分怎么就这么高呢！
版权声明：转载请注明来源 myhalo@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-12-25 13:05
厂商回复：
感谢提交，从应急响应平台层面非常欢迎白帽子提交漏洞，我们对每个漏洞确认，评级，给分都是经过安全团队，开发团队一同确认，并且有相应的漏洞评分，评级的标准。如有任何问题请发送至苏宁src邮箱。再次感谢关注苏宁易购。请单独Pm我，稍后送上礼品卡，以表感谢。另外你提的内部奖励的事情，目前来说，我司人员提交的漏洞都是属于工作职责范围之内的事情，无积分奖励，无特殊对待。
最新状态：
暂无