漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0113955
漏洞标题：木仓科技某平台权限控制不严导致安全隐患
相关厂商：mucang.cn
漏洞作者： 路人甲
提交时间：2015-05-14 14:26
修复时间：2015-06-28 14:32
公开时间：2015-06-28 14:32
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-14： 细节已通知厂商并且等待厂商处理中
2015-05-14： 厂商已经确认，细节仅向厂商公开
2015-05-24： 细节向核心白帽子及相关领域专家公开
2015-06-03： 细节向普通白帽子公开
2015-06-13： 细节向实习白帽子公开
2015-06-28： 细节向公众公开
简要描述：
雷总投资的 产品线越多 越难管理吧
详细说明：
但是把所有的产品都放一个平台上 然后进行权限控制的话
若权限设置不当 造成的隐患就很大了
员工平台(地址就不列了 看图吧)上面列有所有产品管理入口 且对外访问 不加验证码.
而通往所有产品管理平台都在一个域名下.
公司的前端很不错
在管理平台的logo 放了一个彩蛋 讲了不少料 赞！
漏洞由于某员工弱密码导致,公司代码仓库也可访问
漏洞证明：
密码泄露
员工平台
管理后台彩蛋
各个管理平台
还有很多 就不截图证明了
修复方案：
限制好权限
做密码强度判断
最后,俗点. 求礼物
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：19
确认时间：2015-05-14 14:31
厂商回复：
感谢发现此漏洞，我们正在整改。
最新状态：
暂无