当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0213905

漏洞标题:医疗企业安全之微糖一处xss直捣后台(70万患者/6000名医生)

相关厂商:welltang.com

漏洞作者: 小龙

提交时间:2016-05-30 14:32

修复时间:2016-07-14 16:10

公开时间:2016-07-14 16:10

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-05-30: 细节已通知厂商并且等待厂商处理中
2016-05-30: 厂商已经确认,细节仅向厂商公开
2016-06-09: 细节向核心白帽子及相关领域专家公开
2016-06-19: 细节向普通白帽子公开
2016-06-29: 细节向实习白帽子公开
2016-07-14: 细节向公众公开

简要描述:

微糖初创团队于2013年成立,原名博医帮,2014年更名为微糖,微糖是专业的糖尿病全程管理平台,提供院内外的糖尿病管理服务。
目前,拥有两款核心App,分为糖友使用的“微糖”端和专业医护人员使用的“微糖医生”端。微糖旨在为医生和糖友提供糖尿病全程管理服务:为医生提供全方位的支持、为糖友提供自我管理支持。旨在让帮助更多糖友微笑面对糖尿病,回归轻松生活。

详细说明:

搜索APP关键词“医疗” 找到微糖,动态发xss


toplocation : http://sys.boyibang.com/index.php?s=/Knowledge/postsList/ended/2016-05-28/p/2.html
cookie : PHPSESSID=bb7uga8faocr9plbh8lo5d8mh2
1:患者列表

1.jpg


2:医生列表
共计 6571 医护人员,已认证998,未认证4795,待认证109,已拒绝669,已上线186, 当前查询共返回记录6571 条。

2.jpg


3:服务订单

3.jpg


4:订单

4.jpg


5:加积分

5.jpg


6.jpg


漏洞证明:

11

修复方案:

22

版权声明:转载请注明来源 小龙@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2016-05-30 16:06

厂商回复:

会尽快修复

最新状态:

暂无


漏洞评价:

评价