漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0187372
漏洞标题：微信公众平台认证存在问题(不同密码可登录同一个账号)
相关厂商：腾讯
漏洞作者： blu10ph
提交时间：2016-03-21 18:18
修复时间：2016-03-22 14:29
公开时间：2016-03-22 14:29
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：8
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-21： 细节已通知厂商并且等待厂商处理中
2016-03-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
在某些情况下知道部分密码即可登陆公众账号,并且修改密码时同样存在这个问题.
详细说明：
当用户设置密码超过16位时,仅使用前16位即可登陆账号.
修改密码的时候如果只更改16位以后的字符会提示新密码和原密码相同.
漏洞证明：
之前提交了一次说让提交复现步骤和危害证明,专门申请了个账号供测试!请试一下!危害没办法证明,知道了密码前16位就能登陆,这是个潜在的隐患.
登陆地址:
https://mp.weixin.qq.com/
账号:
[email protected]
密码:
test16test16test16test16
使用"test16test16test"作为密码同样可以登录.
修改密码需要提交资料,抱歉我不能给测试账号提交我的个人资料,我贴出一张其他公众帐号修改密码时,密码长度不一样说愿密码和新密码相同的截图来证明吧.
修复方案：
使用密码的全部字符进行授权验证.
版权声明：转载请注明来源 blu10ph@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-03-22 14:29
厂商回复：
非常感谢您的反馈，经评估该问题并不属于安全问题。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无