当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-021695

漏洞标题：芒果网设计错误导致0积分任意刷礼品

相关厂商：芒果网

漏洞作者： koohik

提交时间：2013-04-12 18:05

修复时间：2013-04-17 18:06

公开时间：2013-04-17 18:06

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-04-12： 细节已通知厂商并且等待厂商处理中
2013-04-17： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

芒果网0积分任意兑换礼品

详细说明：

http://jifen.mangocity.com/F199947.html

1.jpg


修改图中数值，绕过积分验证，填写收货人信息

2.jpg


查看订单，已经兑换成功

3.jpg

漏洞证明：

如上

修复方案：

验证。。。

版权声明：转载请注明来源 koohik@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-04-17 18:06

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-04-12 18:37 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    可以啊。不错。

  2. 2013-04-17 19:43 | koohik ( 普通白帽子 | Rank:542 漏洞数:63 | 没什么介绍的http://www.koohik.com/)

    我擦，忽略了。。。

  3. 2013-04-18 10:06 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)

    垃圾厂商，这都忽略。

  4. 2013-04-18 10:59 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    大家去换了没有？

  5. 2013-04-18 11:03 | koohik ( 普通白帽子 | Rank:542 漏洞数:63 | 没什么介绍的http://www.koohik.com/)

    @wefgod 哈哈哈，估计那个芒果网的客服最近电话要多了很多，哈哈

  6. 2013-04-18 11:27 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @koohik 有点去的冲动

  7. 2013-04-18 11:37 | koohik ( 普通白帽子 | Rank:542 漏洞数:63 | 没什么介绍的http://www.koohik.com/)

    @wefgod 去吧，骚年！居然忽略。。。哈哈

  8. 2013-04-18 11:38 | koohik ( 普通白帽子 | Rank:542 漏洞数:63 | 没什么介绍的http://www.koohik.com/)

    @wefgod 还有一个他们后台的洞子，看还忽略不！！！

  9. 2013-04-19 18:51 | 路人X ( 路人 | Rank:13 漏洞数:1 | 路人X)

    貌似在提交订单是已经偷偷修复了，提示“积分扣减异常”。。。