漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-099356
漏洞标题：武商电子商务有限公司某处设置不当，导致任意用户密码重置
相关厂商：wushang.com
漏洞作者： 路人甲
提交时间：2015-03-04 16:05
修复时间：2015-03-09 16:06
公开时间：2015-03-09 16:06
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-04： 细节已通知厂商并且等待厂商处理中
2015-03-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
武商电子商务有限公司某处设置不当，导致任意用户密码重置
详细说明：
武商电子商务有限公司某处设置不当，导致任意用户密码重置
可以不知不觉修改别人密码
另附网站有多出设置不当，登陆成功后，不需要验证旧邮箱和旧手机号号就可以更改新邮箱和新手机号
漏洞证明：
点击忘记密码，修改密码，获取验证码必须点击，可以拦截drop掉，这样修改密码就不会打草惊蛇了
验证码随便输入，提交
拦截服务器返回值，去掉服务器返回值前面的数字5
密码修改成功
登陆一下
修复方案：
禁用客户端认证方式
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-03-09 16:06
厂商回复：
最新状态：
2015-03-10：很抱歉确认晚了，谢谢白帽子同学，已经通知相关人员处理，谢谢您的关注