漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0147026
漏洞标题：p2p之玖富某重要系统设计缺陷可重置任意账户密码可导致用户大量信息泄漏
相关厂商：悟空理财
漏洞作者： 无名人
提交时间：2015-10-15 20:59
修复时间：2015-11-30 10:08
公开时间：2015-11-30 10:08
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-15： 细节已通知厂商并且等待厂商处理中
2015-10-16： 厂商已经确认，细节仅向厂商公开
2015-10-26： 细节向核心白帽子及相关领域专家公开
2015-11-05： 细节向普通白帽子公开
2015-11-15： 细节向实习白帽子公开
2015-11-30： 细节向公众公开
简要描述：
玖富聚焦移动互联网金融战略，移动端注册用户超过1500万，遥遥领先同业。
2014年国家权威机构评级报告里，玖富在行业内综合竞争力排名前三。
玖富持续创新，追求极致，围绕移动互联网金融战略孵化了玖富Wecash闪银、玖富悟空理财、玖富分期GO、玖富叮当钱包、玖富蜡笔分期等多项创新移动互联网金融品牌，开创了互联网金融领域首个粉丝运营模式。其中玖富悟空理财更是创造了上线230多天累积370万粉丝的行业记录。玖富也成为粉丝最喜爱的移动金融品牌之一。
富陆续获得了社科新华社、金融界等多家机构颁发的移动互联网金融领域里的多项大奖，包括互联网金融领军企业、互联网金融创新大奖、网易评选的年度互联网金融品牌大奖，CCTV评选的最值得信赖互联网理财大奖等。旗下公司与Lendingclub、Zopa、Zestfinance等一同获得2014全球金融科技创新50强，并成为唯一入选的中国公司。
详细说明：
系统：CRM系统
http://crm.9fbank.com/index.html
漏洞地址：
1、我们先注册一个账户，邮箱找回忘记密码，发送找回链接，打开链接
2、输入新密码，提交抓包，将账户修改为已存在的其它账户
随意输入一个存在的账户：
3、提交，密码重置成功。
漏洞证明：
销售强人账户：
客户详细资料信息泄漏
修复方案：
校验，防止越权修改
版权声明：转载请注明来源 无名人@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-10-16 10:06
厂商回复：
玖富的外围系统，不涉及悟空，已经停用。谢谢乌云，谢谢白帽子。
最新状态：
暂无