漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0172159
漏洞标题：51信用卡管家设计缺陷可刷钱已提现秒到账
相关厂商：51信用卡管家
漏洞作者： 花呗
提交时间：2016-01-23 23:11
修复时间：2016-03-10 16:42
公开时间：2016-03-10 16:42
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-23： 细节已通知厂商并且等待厂商处理中
2016-01-26： 厂商已经确认，细节仅向厂商公开
2016-02-05： 细节向核心白帽子及相关领域专家公开
2016-02-15： 细节向普通白帽子公开
2016-02-25： 细节向实习白帽子公开
2016-03-10： 细节向公众公开
简要描述：
51信用卡管家设计缺陷可刷钱，已提现，秒到账
详细说明：
涉及51信用卡管家app ios版本，安卓版本
51信用卡管家app现在有个活动推广好友导入信用卡账单赠送15元佣金，佣金可提取到51人品然后可在提现到储蓄卡，51信用卡管家的账号可同时在多个设备登陆，没有限制。
提取佣金时在多个设备登陆账号（安卓苹果都可以）然后同时点提取，同时提取几次，人品宝就多几次的钱，ps 如佣金就15元，你用10部设备同时登陆，同时提取这15元，你的人品宝就会给150元，然后可直接提现到卡150元，秒到账。
漏洞证明：
第一次我用2部手机登陆提取735元，已提现到账
附一张提现到账手机银行截图
第二次我用4部手机登陆提取345元，已提现到账
修复方案：
增加设备登陆限制，不能同时登陆多个设备，服务端也要效验
哪里不懂可私聊我，钱也私聊我退给你们
版权声明：转载请注明来源 花呗@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2016-01-26 21:59
厂商回复：
谢谢作者，已经通知相关人士，稍后会联系你，特此感谢
最新状态：
暂无