漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017789
漏洞标题：邦购网修改任意用户资料
相关厂商：邦购网
漏洞作者： xfkxfk
提交时间：2013-01-24 11:14
修复时间：2013-03-10 11:15
公开时间：2013-03-10 11:15
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-03-10： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
邦购网可修改任意用户资料，如修改收货地址，个人资料等。。。
你说严重不？我也不知道，所以提交了。。。
详细说明：
1、修改人以用户收货地址。
受害者test1test1收货地址信息如下：
2、攻击者xfkxfk可以有自己得收货地址，在修改自己得收货地址时，只要修改url后面的收货地址编号为受害者编号就能进行修改，删除就行。
这里，我们把url地址修改为受害者test1test1的收货地址url，我们可以修改为自己得地址。
我把地址修改成我的，并且在这里我们可以把它设为默认收货地址，大意的用户只要选择默认收货地址我就可以再家里坐等收货了。。。
3、还可以修改用户个人资料--尺码数据管理。
受害者test1test1的人资料--尺码数据url地址---修改地址：
受害者test1test1的人资料--尺码数据url地址----删除地址：
只要攻击者把自己的个人资料--尺码数据修改或者删除地址换成上述受害者地址就能成功修改和删除受害者的个人资料--尺码数据信息。
漏洞证明：
修复方案：
验证用户权限。
版权声明：转载请注明来源 xfkxfk@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞评价：
评论
-
有美特斯邦威这个厂商 如果只是csrf意义不大，我的这种基本都没给过，包括网易微博的名字csrf
-
@小胖胖要减肥 提交了才发现有这个厂商，囧。。。这个不是csrf，任意用户可以修改任意用户的资料。
-
@xfkxfk 那就是权限控制了 直接刷库没有判断提交用户
-
@小胖胖要减肥 对跟你前面那个取消订单差不多
( 普通白帽子 | Rank:686 漏洞数:101 )