漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0134251
漏洞标题：华润雪花某集中支付平台撞库导致内部员工大量信息泄露+影响内部消费审核
相关厂商：华润饮料(控股)有限公司
漏洞作者： jianFen
提交时间：2015-08-15 12:36
修复时间：2015-10-01 10:02
公开时间：2015-10-01 10:02
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-15： 细节已通知厂商并且等待厂商处理中
2015-08-17： 厂商已经确认，细节仅向厂商公开
2015-08-27： 细节向核心白帽子及相关领域专家公开
2015-09-06： 细节向普通白帽子公开
2015-09-16： 细节向实习白帽子公开
2015-10-01： 细节向公众公开
简要描述：
可审核消费
详细说明：
WooYun: 华润某终端管理系统getshell已入内网(影响整个省经销商)
从这个漏洞我得到了一份账号密码- -抱歉当时测试需要
现在我发现了一内部支付平台
http://crbccms.com:108/BAF/
我测试了60个账号 手工好累- - 差不多就有一半可以登录
影响企业内部员工的消费安全可审核还是比较危险
部分测试： 审核可用chenwankai/snowbeer789 记得删掉呢刚好有一笔1000+的可审核
部分截图
取消支付
可停止付费
个人大量全面信息泄露
漏洞证明：
修复方案：
1.避免2个站用户适用同一套密码容易出现连锁反应
2.上次厂商问我要QQ已经发到私信 请注意查看
3.没有进行任何有破坏的操作,只进行了友情测试
版权声明：转载请注明来源 jianFen@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-08-17 10:01
厂商回复：
感谢提交，由于账号是来自之前，不是互联网，所以风险较低，我们会要求他们收回内网以及密码bcrypt保存
最新状态：
暂无