漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-049854
漏洞标题：武汉大学某学院本科毕业设计选题系统泄漏，可查全部毕业生联系信息（紧急）
相关厂商：武汉大学
漏洞作者： 0x004er
提交时间：2014-01-26 10:15
修复时间：2014-03-12 10:15
公开时间：2014-03-12 10:15
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：16
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-26： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-03-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
作为一名2010级的毕业生。虽然不是武大的，但是看到武汉大学某学院2010级全部毕业生重要信息泄漏，而且会被修改，危险，妹子们更危险！！！！
详细说明：
百度了下inurl:/admin.php，想找一下关于Discuz的默认后台信息，结果看到一个选课系统，遂进之
：http://cs.whu.edu.cn/thesis/admin.php?act=keti.all&zyid=0&sys=1
看看看，，，，，是什么，，，，
所有武汉大学该学院的2010级的毕业生的学号，和手机，邮箱联系方式，以及其所做的毕业设计论文题
目，立即暴漏出来，历历在目，我也作为一名2010级的毕业生。虽然不是武大的，但是，这些信息，还
是会被坏人利用的，如学号，手机号，等。
然后找到毕业生信息系统，进行登录，
http://cs.whu.edu.cn/thesis/
然后根据http://cs.whu.edu.cn/thesis/admin.php?act=keti.all&zyid=0&sys=1
这个里边所暴漏出来的学号，进行尝试登录，密码也为学号，
没修改默认密码的，好多啊，登录几个，试试，截图，
再来一个：
而且可以查看到更多的信息，以及修改密码，修改联系方式等权限，这样，如果被不法分子利用，会是什么样子的后果呢
漏洞证明：
修复方案：
速度修复吧 。做好未授权访问的修补啊！别让学生们成了无辜的受害者了
版权声明：转载请注明来源 0x004er@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝