当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-083426

漏洞标题：天天网任意用户信息遍历漏洞

相关厂商：tiantian.com

漏洞作者： hkAssassin

提交时间：2014-11-16 10:17

修复时间：2014-11-21 10:18

公开时间：2014-11-21 10:18

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-16： 细节已通知厂商并且等待厂商处理中
2014-11-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

任意用户遍历

详细说明：

用自己的账号登陆，用户地址处点击修改，遍历Ajax_CallBackArgument0这个参数即可。


1.jpg

2.jpg

3.jpg

4.jpg

漏洞证明：

用户地址处点击修改，遍历Ajax_CallBackArgument0这个参数即可。


1.jpg

2.jpg

3.jpg

4.jpg

修复方案：

ps:你懂得，求高rank????????!!!!!!!!!!!!!!

版权声明：转载请注明来源 hkAssassin@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-21 10:18

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-21 10:50 | 笨小孩 ( 实习白帽子 | Rank:50 漏洞数:7 | 逆水行舟，不进则退。)

    无影响?

  2. 2014-11-21 11:11 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @笨小孩 真tm逗比！！无语了！！

  3. 2014-11-21 11:12 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @疯狗 求补rank!!!!!!!

  4. 2014-11-21 12:17 | 真旅网集团(乌云厂商)

    哈哈，不厚道啊，你看给我们提交的漏洞真无影响的我们都认可并且发送礼物~

  5. 2014-11-21 12:18 | 真旅网集团(乌云厂商)

    这也叫无影响。。天天用户数据不值钱?

  6. 2014-11-22 10:03 | 追寻 ( 实习白帽子 | Rank:86 漏洞数:18 | 闭关修炼)

    这也叫无影响 你们企业如果不在意信息安全 你让我们这些小白帽情何以堪

  7. 2014-11-23 21:45 | 真旅网集团(乌云厂商)

    @追寻 就是啊，我们真旅网非常非常在意，小白帽们来扫我们~ 除tdxinfo.com及其子站点其他各个平台暂时不赠送礼物哦~

  8. 2014-11-24 09:36 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @真旅网集团 真有礼物？？？哈哈！！有时间会关注的！！

  9. 2014-11-24 09:37 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @真旅网集团 tdxinfo.com 只有这个域名送礼物是吧！！！