漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-035601
漏洞标题：暴风影音多处安全漏洞小礼包（未授权访问等）
相关厂商：暴风影音
漏洞作者： niliu
提交时间：2013-08-29 16:50
修复时间：2013-10-13 16:50
公开时间：2013-10-13 16:50
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-29： 细节已通知厂商并且等待厂商处理中
2013-08-30： 厂商已经确认，细节仅向厂商公开
2013-09-09： 细节向核心白帽子及相关领域专家公开
2013-09-19： 细节向普通白帽子公开
2013-09-29： 细节向实习白帽子公开
2013-10-13： 细节向公众公开
简要描述：
暴风影音漏洞小礼包
详细说明：
1，暴风影音某站账户体系控制不严导致可登陆他人账号
2，两处目录遍历
3，某CMS后台管理系统未授权访问，怀疑废弃
#1问题出在暴风推广联盟
地址：
用户user 密码123456 登陆时抓包
以密码不变，对用户名username参数进行猜解
部分账号登陆截图
#2目录遍历
可下载配置文件
#3 CMS后台未授权访问
漏洞证明：
见详细说明
修复方案：
1，加强登陆接口的验证.
2，访问权限控制.
3，废弃的就删了吧.
版权声明：转载请注明来源 niliu@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2013-08-30 17:43
厂商回复：
感谢漏洞提醒，我们正在修复，稍后为您送出一份小礼品
最新状态：
暂无