漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040633
漏洞标题：青蓝记权限不平衡可以删除任意文章
相关厂商：qinglanji.com
漏洞作者： 小龙
提交时间：2013-10-22 17:20
修复时间：2013-10-27 17:21
公开时间：2013-10-27 17:21
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-22： 细节已通知厂商并且等待厂商处理中
2013-10-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
V电影（vmovier）一个国内目前最大、最文艺的微电影分享交流平台。里面有
V电影_vmovier网站标志[1]
顶尖的影评人，微电影制作人等，是文艺青年的聚集地。该网站实时不断分享全球最新最好的微电影，并提供各种相关微电影拍摄教程，同时，定期会举行开放日活动，邀请著名影评人，电影人，电影爱好者一同探索微电影的奥秘。
V电影网专注于微电影领域，现在已经成为国内最热的微电影平台，实时分享各种国内外优秀微电影，聚集了国内最优秀的制作人与爱好者，网友戏称为中国版vimeo.
V电影上线以来，受到多方关注与喜爱。各大社区网站粉丝数量激增，网站点击量一路走高，建立了多个V电影粉丝群。定期举办V电影开放日、青年短片汇、微电影首映等活动，场均百余人，气氛非常热烈。
详细说明：
在文章哪里貌似是发那种请人招聘的文章，呵呵。 我们删除。。- -
首先要加入小组，发一篇文章并删除抓包。
这个就是我们要删除的目标。
这个记起来，有用。
id-163
u106
好，删除自己的。
get：http://www.qinglanji.com/index.php?app=group&ac=topic&ts=delete&id=885&userid=295262
然后删除自己抓包改成目标的
漏洞证明：
313
5
我们删除这个。
证明一下。。
另外关注也是get：http://www.qinglanji.com/index.php?app=user&ac=follow&ts=do&userid=92
编辑文章也是get：http://www.qinglanji.com/group/topic/id-750/ts-edit
爆破，无限制。
修复方案：
来发礼物吧
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-10-27 17:21
厂商回复：
最新状态：
2013-10-27：删除文章的漏洞已修复