当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-096556

漏洞标题:联想物流平台配置不当导致大量信息泄露(各种订单,各种报表)

相关厂商:联想

漏洞作者: answer

提交时间:2015-02-10 08:39

修复时间:2015-03-27 08:40

公开时间:2015-03-27 08:40

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-10: 细节已通知厂商并且等待厂商处理中
2015-02-11: 厂商已经确认,细节仅向厂商公开
2015-02-21: 细节向核心白帽子及相关领域专家公开
2015-03-03: 细节向普通白帽子公开
2015-03-13: 细节向实习白帽子公开
2015-03-27: 细节向公众公开

简要描述:

rt

详细说明:

漏洞地址:http://sec.lenovo.com/Home/PopUpIndex/#/Login/Login?rd=%2f
点击忘记密码

@UT3X{Z@~}%I18JX[WJP(O8.png


这里有验证码,坑爹的是验证码可重复利用 不会变,于是就从这个地方开始爆破用户名
爆破出了用户名再从登陆的地方爆破密码,最后真的成功了一个
然后就是各种信息泄露,看图不说话

WYU0EZ4GL4RXO7P1`GZGJZO.jpg


%]K6)E{EJ{HL3F3J~N8[[64.jpg


4J[{E{_E2E1D7E6GGG[(2CN.png


08L7PZ1E}J4P2GP~I4PT3[J.png


I6LP6ZH0KI4A@FXQDH$@BA5.png


漏洞证明:

漏洞地址:http://sec.lenovo.com/Home/PopUpIndex/#/Login/Login?rd=%2f
点击忘记密码

@UT3X{Z@~}%I18JX[WJP(O8.png


这里有验证码,坑爹的是验证码可重复利用 不会变,于是就从这个地方开始爆破用户名
爆破出了用户名再从登陆的地方爆破密码,最后真的成功了一个
然后就是各种信息泄露,看图不说话

WYU0EZ4GL4RXO7P1`GZGJZO.jpg


%]K6)E{EJ{HL3F3J~N8[[64.jpg


4J[{E{_E2E1D7E6GGG[(2CN.png


08L7PZ1E}J4P2GP~I4PT3[J.png


I6LP6ZH0KI4A@FXQDH$@BA5.png


修复方案:

验证码别太坑啊,登陆的地方也加验证码喽

版权声明:转载请注明来源 answer@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2015-02-11 09:43

厂商回复:

谢谢您对联想安全工作的支持,我们会尽快修复漏洞

最新状态:

暂无


漏洞评价:

评论