当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-045468

漏洞标题:世纪东方SQL注进后台导致可管理1000多虚拟主机

相关厂商:成都世纪东方

漏洞作者: sql

提交时间:2013-12-10 11:25

修复时间:2013-12-15 11:25

公开时间:2013-12-15 11:25

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-12-10: 细节已通知厂商并且等待厂商处理中
2013-12-15: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

世纪东方SQL注进后台导致可管理1000多虚拟主机

详细说明:

http://diysite.cdnhost.cn
http://diysite.cdnhost.cn/news/html/?37'.html

QQ图片20131210110623.jpg


然后通过努力,我注出来后台管理账号:
deavel
密码:deavel*****99 马赛克一下。

QQ图片201312101107522222.jpg


我发现后台可以管理1000多虚拟主机 汗。。。。。

QQ图片2013121011083833333333.jpg


漏洞证明:

同上

修复方案:

过滤

版权声明:转载请注明来源 sql@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-12-15 11:25

厂商回复:

漏洞Rank:10 (WooYun评价)

最新状态:

2013-12-16:@sql:您好,由于我司未收到wooyun的漏洞提醒邮件,收到此邮件时漏洞已经被公开,没有能给您评得上分十分的抱歉,同时我司也想询问一下乌云的管理员,由于乌云平台的邮件系统(或者是sae的邮件系统)的问题导致厂商未收到邮件通知就直接公开的做法是否符合“负责任的漏洞披露流程”? @WooYun


漏洞评价:

评论

  1. 2013-12-10 11:52 | letboy ( 路人 | Rank:26 漏洞数:33 | 其实学点技术比较实在!)

    求一台 主机

  2. 2013-12-11 11:21 | 老川 ( 路人 | Rank:2 漏洞数:1 | 专注于S2漏洞)

    虚拟主机是什么?

  3. 2013-12-15 11:41 | sql 认证白帽子 ( 核心白帽子 | Rank:1127 漏洞数:145 | 带着两个MM(mysql,mssql),玩3p(asp,php...)

    你妹的,为啥就忽略我的?

  4. 2013-12-15 13:34 | 老川 ( 路人 | Rank:2 漏洞数:1 | 专注于S2漏洞)

    因为不重要 所以忽略你

  5. 2013-12-19 21:04 | x1aoh4i ( 普通白帽子 | Rank:403 漏洞数:62 )

    你嘛 厂商脑子秀逗了么 这个我都提交过了

  6. 2013-12-20 09:18 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    由于乌云平台的邮件系统(或者是sae的邮件系统)的问题导致厂商未收到邮件通知就直接公开的做法是否符合“负责任的漏洞披露流程”

  7. 2014-09-13 03:51 | 写个七 ( 路人 | Rank:4 漏洞数:1 | 一点一点积累。)

    前排保护!