当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-03999

漏洞标题：19楼私信csrf

相关厂商：十九楼

漏洞作者： xsser_w

提交时间：2012-01-22 00:23

修复时间：2012-01-27 00:24

公开时间：2012-01-27 00:24

漏洞类型：CSRF

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-01-22： 细节已通知厂商并且等待厂商处理中
2012-01-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

哎呀卧槽。这不对啊

详细说明：

http://www.19lou.com/user/message/send
都没验证码 token referrer检查，问题不只这一个了 许多都不做token httponly也撤掉了。。
挺危险的……

漏洞证明：

无

修复方案：

检查referrer,在涉及用户信息交互的地方增加token

版权声明：转载请注明来源 xsser_w@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-01-27 00:24

厂商回复：

漏洞Rank：2 (WooYun评价)

最新状态：

2012-01-27：感谢

漏洞评价：

评论

  1. 2012-01-22 14:48 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    什么玩意15分

  2. 2012-01-22 15:37 | TwoSpring ( 路人 | Rank:8 漏洞数:1 | 游走于道德与随性之间……)

    19楼几乎所有BUG都被LZ找出来，难道参与了源码的编写？个人猜测……别见怪

  3. 2012-01-22 16:00 | xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)

    - - 分数乱设置的。。。。不知道行情~

  4. 2012-01-22 16:03 | xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)

    @第二春 没有啊…不会编程黑客技术

  5. 2012-01-22 23:42 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    几乎所有不可能撒。19楼大户

  6. 2012-01-23 00:34 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    过年还上乌云，精神可嘉。发个最佳热爱奖。

  7. 2012-01-23 02:04 | xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)

    @zeracker = = 那就不知道了 @p.z 追随pavelz大牛的脚步 来wooyun混 放假嘛。没事做 就看看 没什么热爱不热爱的

  8. 2012-01-24 10:18 | knife ( 普通白帽子 | Rank:155 漏洞数:24 | 抬枪上御女，提臀迎众基。)

    楼主过年还在找十九楼的洞啊 新年好

  9. 2012-01-24 13:57 | xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)

    @knife 过年没事做。。。打发时间，新年好~