P2P之和信贷存在设计缺陷可再次重置任意用户密码

漏洞概要

缺陷编号:WooYun-2015-0127897

漏洞标题:P2P之和信贷存在设计缺陷可再次重置任意用户密码

相关厂商:hexindai.com

漏洞作者:Looke

提交时间:2015-07-21 10:35

公开时间:2015-07-26 10:36

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-21: 细节已通知厂商并且等待厂商处理中
2015-07-21: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

在找回密码处存在设计缺陷,可利用一个手机号(我的)短信验证流程欺骗目标账户的短信验证流程,从而导致目标账户密码被重置。漏洞地址:

1、输入我们的账户

2、输入我们收到的验证码,进入下一步:

3、输入新密码,保留该页面,一会要用

4、在浏览器新标签中输入目标账户名,提交

5、回到我们保留的页面,提交,目标账户密码重置成功

漏洞证明:

用我们的新密码wooyun123登陆Jack账户,登陆成功:

可通过遍历账户名重置任意账户的账号密码,危害不言而谕!危害这么大,求给20rank啊!!

修复方案:

作好服务器端的逻辑校验工作,防止越权

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-2610:36

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 BeenQuiver 白帽子 | Rank:50 漏洞数:6)

    啥原理啊?