漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045646
漏洞标题：中国石油大学（北京）后台绕过任意文件遍历下载，1223名教职工身份信息泄漏
相关厂商：cii.cup.edu.cn
漏洞作者： lovemichaelli
提交时间：2013-12-18 11:25
修复时间：2014-02-01 11:26
公开时间：2014-02-01 11:26
漏洞类型：任意文件遍历/下载
危害等级：中
自评Rank：5
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-02-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
中国石油大学（北京）地球物理与信息工程学院后台绕过，后台文件直接遍历、下载；其中有学生信息和1223名教职工的身份信息文件可任意下载！！！
详细说明：
基本上来说，不需要很高端都能把学校的一些敏感信息看个遍啦，呵呵一下；上次听说是哪个学校的信息泄露来着，造成N多学生的信息泄漏，部分家长差点遭遇诈骗等；It's dangerous!看似不起眼的fck漏洞，却会带来这么大的影响，善哉善哉~
漏洞证明：
就截图这么多吧，截图太多也占用空间。。。
修复方案：
怎么修复网管应该懂得吧，建议还是及时修复吧，不然上面的 fckeditor编辑器 漏洞可能会造成服务器权限的丧失啊，于是乎学生和老师的信息泄漏悲剧可能再次重演。。。。
版权声明：转载请注明来源 lovemichaelli@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝