唯购微商城任意用户密码重设&现金体现

漏洞概要

缺陷编号:WooYun-2015-0130109

漏洞标题:唯购微商城任意用户密码重设&现金体现

相关厂商:唯购

漏洞作者:奥特曼

提交时间:2015-07-29 12:39

公开时间:2015-09-12 12:40

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-29: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-12: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

唯购微商城任意用户密码重设&现金体现

详细说明:

http://findpwd.veigou.com/找回密码处缺陷没做二次验证,可抓包获取验证码。

漏洞证明:

只是百度随便找了个用户测试, 找回密码会提示存在不存在此用户,就可实现抓包扫存在的用户。 现金就不测试提了,不搞破坏还请多多奖励 哈!

修复方案:

二次验证 你们更专业

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价