格力官方商城设计缺陷导致导致重置任意账户密码

漏洞概要

缺陷编号:WooYun-2015-0128826

漏洞标题:格力官方商城设计缺陷导致导致重置任意账户密码

相关厂商:格力官方商城

漏洞作者:Looke

提交时间:2015-07-24 12:16

公开时间:2015-09-07 12:18

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-24: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-07: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

漏洞地址:

过程如下:1、输入目标邮箱账户,可通过遍历QQ,163等邮箱获得存在的用户,[email protected],在输入目标地址和验证码后,提交时,重置链接出现在返回包中

2、解码重置url,打开重置链接,输入新密码,提交

3、密码修改成功

漏洞证明:

账号:[email protected] 密码:wooyun123

修复方案:

隐藏链接下发的链接地址,不要返回客户端

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价