当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-033766

漏洞标题:某企业贷款平台struts任意代码执行泄露贷款信息

相关厂商:人人米多电子商务(北京)有限公司

漏洞作者: 一只猿

提交时间:2013-08-08 12:28

修复时间:2013-09-22 12:29

公开时间:2013-09-22 12:29

漏洞类型:文件上传导致任意代码执行

危害等级:中

自评Rank:7

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-08-08: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-09-22: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

米多小微企业贷款平台struts旧漏洞任意代码执行,数据库面临被拖,管理员信息,用户信息,贷款信息泄露

漏洞证明:

网址:http://miduo360.com/publicpages/index.action
先上一张网站截图,小清新的风格,页面设计的挺不错,截图未打码,工作人员适当打码

TM截图20130807181649.jpg

列目录

TM截图20130807181358.jpg

拿邮件配置

TM截图20130807191326.jpg

拿数据库配置

TM截图20130807181316.jpg

拿管理

TM截图20130807181438.jpg

拿用户

TM截图20130807183118.jpg

测试登录,用户1

TM截图20130807182014.jpg

测试登录,用户2

TM截图20130807182144.jpg

测试管理员

TM截图20130807182842.jpg

TM截图20130807182908.jpg

TM截图20130807182937.jpg


说明:本菜鸟用于测试所下载的某些表均已删除,安全测试,谢绝跨省

修复方案:

补丁或更换框架

版权声明:转载请注明来源 一只猿@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论