漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045427
漏洞标题：对广东某学院旗下多个站点的一次测试发现诸多安全问题
相关厂商：广东某学院
漏洞作者： admin1993
提交时间：2013-12-18 16:01
修复时间：2013-12-23 16:01
公开时间：2013-12-23 16:01
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(广东省信息安全测评中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-18： 细节已通知厂商并且等待厂商处理中
2013-12-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
涉及多个站点 新闻网，图书馆，BBS，党政网等等
详细说明：
1.揭阳学院图书馆网站 存在sql注入漏洞
注入点 http://lib.jyc.edu.cn/news/show_news.jsp?news_id=108
而且是root权限
列库
列表
读取表内容
进网站后台
漏洞证明：
2.新闻网 bbs 党政网等等
新闻网是从一个dede的站跨过来的
http://dqlx.jyc.edu.cn 此站存在最新的dedecms getshell漏洞
直接拿shell
可以跨很多站 例如新闻网 bbs 党政网等等
修复方案：
贵院网站存在太多问题了 作为一个揭阳人 实在不忍心看到自己家乡的高校网站存在这么多安全问题 望校方重视！
版权声明：转载请注明来源 admin1993@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-12-23 16:01
厂商回复：
最新状态：
暂无