漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0122198
漏洞标题：北京外企人力资源几个站点的漏洞小礼包（服务弱口令+XSS+web目录遍历），可导致整个集团人员姓名泄露
相关厂商：北京外企人力资源服务有限公司
漏洞作者： 安全小飞侠
提交时间：2015-06-23 10:07
修复时间：2015-06-28 10:08
公开时间：2015-06-28 10:08
漏洞类型：重要敏感信息泄露
危害等级：低
自评Rank：2
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-23： 细节已通知厂商并且等待厂商处理中
2015-06-28： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
北京外企人力资源几个站点的漏洞小礼包（服务弱口令导致整个集团人员姓名信息泄露+XSS+web目录遍历）
详细说明：
1. 服务弱口令导致整个集团人员姓名泄露:
2. 主站反射XSS:
3.员工论坛分站存储XSS：
简单测试了一下，只能在IE8以下(包括IE8)可被利用，火狐和Chrome不受影响，但还是建议最好及时修复
4.Web目录遍历：
robots.txt中列出的部分目录未设置访问权限，导致某些敏感资源可随意访问
漏洞证明：
1. 服务弱口令导致整个集团人员姓名泄露:
2. 主站反射XSS:
3.员工论坛分站存储XSS：
简单测试了一下，只能在IE8以下(包括IE8)可被利用，火狐和Chrome不受影响，但还是建议最好及时修复
4.Web目录遍历：
robots.txt中列出的部分目录未设置访问权限，导致某些敏感资源可随意访问
修复方案：
1. 修改密码
2. 输入检测，输出编码
3. 限制某些敏感web目录的访问权限
版权声明：转载请注明来源 安全小飞侠@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-28 10:08
厂商回复：
最新状态：
2015-06-29：谢谢 @安全小飞侠，已通知相关人员修复。感激。