漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0133939
漏洞标题：川北医学院某平台接口越权使用(泄露身份证,地址,手机号)
相关厂商：川北医学院
漏洞作者： 式
提交时间：2015-08-13 19:02
修复时间：2015-08-18 19:04
公开时间：2015-08-18 19:04
漏洞类型：网络未授权访问
危害等级：低
自评Rank：5
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-13： 细节已通知厂商并且等待厂商处理中
2015-08-18： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
......
详细说明：
川北医学院学位与研究生教育管理平台存在弱口令 admin admin 由于手贱把密码改成qqhy666了
登录进去之后可以在学籍管理->学生信息维护 查询学生的信息
随便查询了一个名字 周婷
然后点击学号 就进入到那个接口了
把窗口的url复制下来
去掉多余的参数
其中param参数可以修改,经过遍历后发现范围是在8649到9548,也就是900个人..而这个url没有设置权限,任何人都能通过这个接口查看资料..
漏洞证明：
修复方案：
.....
版权声明：转载请注明来源 式@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-08-18 19:04
厂商回复：
最新状态：
暂无