当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0192763

漏洞标题:APP安全之胖虎一处XSS(后台交易金额达400w人民币)

相关厂商:胖虎(北京)科技有限公司

漏洞作者: 小龙

提交时间:2016-04-05 17:12

修复时间:2016-05-20 17:20

公开时间:2016-05-20 17:20

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-05: 积极联系厂商并且等待厂商认领中,细节不对外公开
2016-05-20: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

胖虎网是一个为二手奢侈品卖家和消费者提供查询,评估,鉴定,回收,寄售等各种专业服务的移动APP,致力于让用户手中的闲置二手奢侈品流动起来,打造一个安全可靠便捷实惠的二手奢侈品交易平台。
胖虎网是国内首家C2B2C形式的二手奢侈品电子商务网站,针对卖家及买家提供专业细致的点对点服务,教你买帮你卖,对回收或者寄售的二手奢侈品进行鉴定、保养后
  ,在胖虎网站和胖虎APP以及各实体店进行销售,并对售出的商品提供售后和回购的服务。
  胖虎网已具备成为中国二手奢侈品行业协会理事单位的全部资格,在产品投入运营之后,将正式成为协会理事单位。
胖虎是国内首家C2B2C形式的二手奢侈品电子商务网站,针对卖家及买家提供专业细致的点对点服务,教你买帮你卖,对回收或者寄售的二手奢侈品进行鉴定、保养后
  ,在胖虎网站和胖虎APP以及各实体店进行销售,并对售出的商品提供售后和回购的服务。 如果你有闲置奢侈品,只要在胖虎平台上传图片发布,即可轻松变现;如果你想买奢侈品,又荷包不足,即可登录胖虎挑选您中意的低价奢侈品。[1-2]

详细说明:

下载 胖虎 APP,反馈建议输入xss
得到cookie:

location : http://www.ponhu.cn/index.php/Adminph/Yijian/index
toplocation : http://www.ponhu.cn/index.php/Adminph/Yijian/index
cookie : PHPSESSID=n5nd4q3ankvvrgi9kd7rqut8p7


登陆进去
发现交易额达400w,又是土豪公司。。

1.jpg


订单列表

订单列表.jpg


红包

红包.jpg


用户管理i

用户管理.jpg


漏洞证明:

11

修复方案:

11

版权声明:转载请注明来源 小龙@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)