漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0102504
漏洞标题：萌宝APP任意用户密码重置漏洞
相关厂商：萌宝
漏洞作者： 90Snake
提交时间：2015-03-23 18:04
修复时间：2015-05-07 18:06
公开时间：2015-05-07 18:06
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-23： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-05-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
用户密码重置
详细说明：
国内首家一站式育儿平台“萌宝”APP，上线仅一个多月，用户量就已接近百万级，成为母婴类手机APP中的一匹黑马，在众多辣妈和准妈妈们的追捧下，快速跃居多个移动应用分发市场中女性、儿童及健康类别的榜首。
在91手机助手APP排行榜中的儿童类、保养健身类等两个类别里，“萌宝”均位列第一。而在360手机助手APP排行榜的健康医疗/怀孕类中，萌宝的排名也高居第二位，仅次于深耕母婴市场已有数年之久的宝宝树。
希望能走个大厂商~
漏洞证明：
找回密码
发现是四位的
我们用burp爆破
成功爆破修改密码
修复方案：
6位
加时效
~。~ 求给20Rank
版权声明：转载请注明来源 90Snake@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝