漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033541
漏洞标题：赶集网手机短信发送接口限制不严导致可发任意内容给任意号码
相关厂商：赶集网
漏洞作者： 专注XSS三十年
提交时间：2013-08-05 17:57
修复时间：2013-09-19 17:57
公开时间：2013-09-19 17:57
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：1
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-05： 细节已通知厂商并且等待厂商处理中
2013-08-05： 厂商已经确认，细节仅向厂商公开
2013-08-15： 细节向核心白帽子及相关领域专家公开
2013-08-25： 细节向普通白帽子公开
2013-09-04： 细节向实习白帽子公开
2013-09-19： 细节向公众公开
简要描述：
其实就是 http://www.wooyun.org/bugs/wooyun-2013-028572 的同类挖掘。
漏洞等级还是比较高的，不过因为不是原创，RANK无所谓了。忽略都好。只是很多网站都存在这个问题，希望引起重视
详细说明：
http://mobile.ganji.com/?ajax=true&ajax_act=send_phone&url=短信内容&phone=手机号
GET请求，没验证码，没COOKIE验证，任何人使用都能发送= =不知道这个功能设计的时候是怎样考虑的。
漏洞证明：
修复方案：
懂。
版权声明：转载请注明来源 专注XSS三十年@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2013-08-05 18:04
厂商回复：
感谢提交，这个问题其他童鞋也单独给我们提交过，正在修复。
--></pre></textarea>'>">'>"><script>alert(/hacked by xsser/);</script>
最新状态：
暂无
漏洞评价：
评论
-
是一个应该注意的类型 有个系统的理论分析下比较好
-
厂商没节操啊
-
@xsjswt 因为一切都在上帝掌控之中 老子说的
-
@xsser @xsjswt 你们可以比吃饭 谁吃的多 或者谁体重重
-
@xsjswt 卧槽 体重重还好意思的啊
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)