漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023324
漏洞标题：中公教育一注入，秒杀50W普通用户与学员
相关厂商：中公与华图
漏洞作者： 非米特尼克
提交时间：2013-05-09 11:34
修复时间：2013-06-23 11:35
公开时间：2013-06-23 11:35
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-09： 细节已通知厂商并且等待厂商处理中
2013-05-13： 厂商已经确认，细节仅向厂商公开
2013-05-23： 细节向核心白帽子及相关领域专家公开
2013-06-02： 细节向普通白帽子公开
2013-06-12： 细节向实习白帽子公开
2013-06-23： 细节向公众公开
简要描述：
中公与华图可是公务员培训行业的两大巨头。。。。会员信息肯定是非常重要的，会重视吧！！！
详细说明：
没撒说的，登录普通会员直接脱裤，直接上地址：
http://vip.offcn.com/index.php?app=zxtk&mod=Index&act=showinfo&categoryId=1&id=438漏洞好像有几处，测试时忘记保存了，你们自己再详细测试吧。
漏洞证明：
1、注入测试
2、会员数量
修复方案：
过滤
版权声明：转载请注明来源 非米特尼克@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2013-05-13 22:23
厂商回复：
至13日，暂未能通过公开联系渠道联系上网站管理方。虽涉及用户数据信息泄露风险，但处置渠道以及CNVD精力所限，暂不再列入处置流程。先行确认，希望厂商能看到吧。
按信息泄露风险进行评估，rank 13
最新状态：
暂无