漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013698
漏洞标题：oppo官网几个XSS以及敏感信息泄漏
相关厂商：广东欧珀移动通讯有限公司
漏洞作者： 疯子
提交时间：2012-10-22 10:08
修复时间：2012-10-27 10:09
公开时间：2012-10-27 10:09
漏洞类型：系统/服务运维配置不当
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-22： 细节已通知厂商并且等待厂商处理中
2012-10-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
听说这几天来了个新的厂商，很火啊。。凑热闹
详细说明：
http://theme.oppo.com/?q=user%2Fauthordetail&author=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://theme.oppo.com/index.php?q=index%2Flist&style=0&page=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://mall.oppo.com/index.php?q=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://account.oppo.com/sysadmin/htm/?q=user%2Flogin&back=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
上面是XSS 什么储存型 什么反射型 我不懂 就只会这个 你们看着搞吧
http://activity.oppo.com/find3findmore.tar
这个貌似是一个专题的源码 带图片
还有一个fck可以爆路径
http://account.oppo.com/sysadmin/htm/fckeditor/editor/filemanager/connectors/test.html#
http://mall.oppo.com/info.php
phpinfo
漏洞证明：
http://theme.oppo.com/?q=user%2Fauthordetail&author=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://theme.oppo.com/index.php?q=index%2Flist&style=0&page=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://mall.oppo.com/index.php?q=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
http://account.oppo.com/sysadmin/htm/?q=user%2Flogin&back=--%3E%27%22%3E%3CH1%3Ewooyun%3C%2FH1%3E
上面是XSS 什么储存型 什么反射型 我不懂 就只会这个 你们看着搞吧
http://activity.oppo.com/find3findmore.tar
这个貌似是一个专题的源码 带图片
还有一个fck可以爆路径
http://account.oppo.com/sysadmin/htm/fckeditor/editor/filemanager/connectors/test.html#
http://mall.oppo.com/info.php
phpinfo
修复方案：
你们是专家，我纯属凑热闹
版权声明：转载请注明来源 疯子@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-10-27 10:09
厂商回复：
最新状态：
暂无
漏洞评价：
评论
-
这样的厂商这样的问题也发？
-
来迟了，洞都被抢了！
-
厂商要送手机？
-
@疯子 不以数据为中心的安全都是耍流氓 遇到耍流氓的都先审后发
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)