漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014334
漏洞标题：作废任意新蛋用户订单
相关厂商：newegg（新蛋网）
漏洞作者： 小胖胖要减肥
提交时间：2012-11-04 12:19
修复时间：2012-11-09 12:19
公开时间：2012-11-09 12:19
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-04： 细节已通知厂商并且等待厂商处理中
2012-11-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
由于是测试没有进行支付，用户A,B分别在2个浏览器登陆，A可以作废B的订单，请验证这个bug在订单各种状态是否都能重现，还有newegg有太多的地方没有绑定当前用户，该bug应该在其他很多电商都存在，逻辑设计当时就有问题，求新蛋礼品卡
详细说明：
漏洞证明：
由于是测试，只是前台下了2个未支付的订单，不知道前台这个作废订单权限多大，但危害还是蛮大的，可以脚本执行post信息，只要有任意一个账户的cookies就可以，订单规则随便就搞出来了，能让所有订单都经过这个脚本，那会导致用户的单子都变为作废。
修复方案：
绑定customsysno就可以了，或者直接绑定cookies的用户，就像还有一个无关紧要的漏洞是用户A可以支付用户B的订单，就是因为cookies未绑定用户，还有之前newegg对于wooyun的漏洞态度是忽略并修复，这次再这样的话下次直接公开算了
版权声明：转载请注明来源 小胖胖要减肥@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-11-09 12:19
厂商回复：
漏洞Rank：8 (WooYun评价)
最新状态：
暂无
漏洞评价：
评论
-
@一刀终情 联系cto，再忽略跟京东一样不上报了
-
newegg的这个账号是谁在用啊，EC部门修复了，看影响给分吧，用burp多线程跑，订单规则在每个模块下几个单找一下，然后1分钟估计post几千个订单号没问题吧
-
@xsser 这个洞给分吧，老大都认可了，希望能得到礼品卡，京东那个也酌情给点吧
( 普通白帽子 | Rank:686 漏洞数:101 )