当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0137377

漏洞标题:超星网某后台未设权限(可直接管理海量用户及学校账号等)

相关厂商:超星网

漏洞作者: Mr.FooL

提交时间:2015-08-27 16:13

修复时间:2015-09-01 16:14

公开时间:2015-09-01 16:14

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-27: 细节已通知厂商并且等待厂商处理中
2015-09-01: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

进社区要5wb 搜索漏洞要实习白帽 没法玩了

详细说明:

在学校闲的无聊登上xss平台看看了以前插的超星网

1


http://passport2.chaoxing.com/admin/
然后我就谜一样的进来了

2


可以修改学校信息

3


创建一个账号

4


可修改用户信息,密码直接显示,可登陆任意存在用户

5


6


7


通过用户id可看到至少有两千万个用户

8


用户均可修改后果严重

漏洞证明:

如上

修复方案:

加个登陆能死人

版权声明:转载请注明来源 Mr.FooL@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-09-01 16:14

厂商回复:

漏洞Rank:4 (WooYun评价)

最新状态:

暂无