当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-015673

漏洞标题:7天酒店查看任意用户订单

相关厂商:7天连锁酒店

漏洞作者: blue

提交时间:2012-12-05 22:56

修复时间:2013-01-19 22:57

公开时间:2013-01-19 22:57

漏洞类型:未授权访问/权限绕过

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-12-05: 细节已通知厂商并且等待厂商处理中
2012-12-06: 厂商已经确认,细节仅向厂商公开
2012-12-16: 细节向核心白帽子及相关领域专家公开
2012-12-26: 细节向普通白帽子公开
2013-01-05: 细节向实习白帽子公开
2013-01-19: 细节向公众公开

简要描述:

如标题所见,晚上想上7天评价下我们老家的7天,查看自己订单的时候就想是否能看到别人的订单...

详细说明:

问题存在于7天手机站,http://wap.7daysinn.cn,输入:

http://wap.7daysinn.cn/index.php?act=user.orderinfo&id=(订单id)&hotelid=(酒店id)&brandID=1&PHPSESSID=***


看起来是用订单id和酒店id来联合查询订单信息的,写个程序,先遍历几百家酒店id,再每家遍历订单id,就能查看所有的订单了,估计有人会感兴趣。

漏洞证明:

1.主站是没有这个问题的

1.png


2.来到wap站,登录自己的账号,打开自己任意订单的详情页,更改链接里的id和hotelid(怎么来的就得遍历了或者其它了),其它字段都不用改,然后...看图吧...

4.jpg


3.jpg


修复方案:

做权限判断

版权声明:转载请注明来源 blue@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2012-12-06 08:24

厂商回复:

我们会尽快修复 感谢blue 欢迎直接联系我们。

最新状态:

2012-12-06:已经修复。


漏洞评价:

评论

  1. 2012-12-05 23:14 | Hxtx2011 ( 路人 | Rank:9 漏洞数:6 | 111)

    坐等公布- -

  2. 2012-12-06 01:59 | y35u ( 普通白帽子 | Rank:364 漏洞数:38 | yesu)

    <img src="/upload/201212/060159241b9a1b52ede225b0a923fb0d9c9105f7.jpg" alt="jiushu.jpg" />

  3. 2012-12-06 02:29 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    @y35u ERROR2 ...

  4. 2012-12-06 11:11 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞,心中自然无码。)

    oh my ...