漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0118872
漏洞标题：天天果园弱口令未修复可设置最高权限,泄漏员工信息(姓名+手机号)+部分用户信息(姓名+地址+手机号)+13万充值卡信息+短信接口等
相关厂商：fruitday.com
漏洞作者： harbour_bin
提交时间：2015-06-08 14:35
修复时间：2015-07-23 14:44
公开时间：2015-07-23 14:44
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-08： 细节已通知厂商并且等待厂商处理中
2015-06-08： 厂商已经确认，细节仅向厂商公开
2015-06-18： 细节向核心白帽子及相关领域专家公开
2015-06-28： 细节向普通白帽子公开
2015-07-08： 细节向实习白帽子公开
2015-07-23： 细节向公众公开
简要描述：
天天果园弱口令未修复可设置最高权限,泄漏员工信息(姓名+手机号)+部分用户信息(姓名+地址+手机号)+13万条充值卡信息等
同时,可以发现短信接口,已测试; 可为充值卡充值; 可看到微博信息和抵用券信息; 是否影响其他系统为测试,厂家关注.
详细说明：
1、发现一个未修复的弱密码
username: liuxl 密码:fday2015
2、发现该密码可授权用户,建立账号wuyun,并授予最高权限(一片绿),然后就开始坑了==||
3、可查看315位员工的姓名、手机号并可直接修改密码,已经测试
4、可查看4000多名用户的信息(姓名+地址+手机号)
5、可查看13万条充值卡记录,部分还未充值,怕给厂商添麻烦,未测试.厂商注意一下
6、发现短信接口,已经测试,感觉危害比较大
7、发现微博信息和抵用券信息
8、可修改各部门的权限
9、其他,还发现员工信息中部分信息为其他系统地登录名,修改密码不知是否存在问题,厂商自检,谢谢！
漏洞证明：
已证明！
修复方案：
你们更专业！
麻烦刷除账号以及相关图片,谢谢！
版权声明：转载请注明来源 harbour_bin@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-06-08 14:42
厂商回复：
非常感谢！我们正在排查此类问题并会尽快修复，感谢！
最新状态：
暂无