p2p金融安全之金开贷任意账号密码重置

漏洞概要

缺陷编号:WooYun-2015-0126878

漏洞标题:p2p金融安全之金开贷任意账号密码重置

相关厂商:金开贷

漏洞作者:路人甲

提交时间:2015-07-15 13:59

公开时间:2015-08-29 14:00

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-15: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

金开贷官方网站国有独资AAA级三级等保资质社会金融服务平台。2014年5月正式运营,立志于“让信任成就价值”的企业理念。陕西金融控股集团与国家开发银行陕西分行联合推出,唯一国有独资的互联网投融资平台。年化收益最高可达9.36%,四重保障,您身边最安全的P2P理财平台!

详细说明:

p2p安全之金开贷任意账号密码重置Response验证码返回案例

漏洞证明:

找回密码处:https://www.kingkaid.com/unauth/member/findPas选择手机号找回测试手机号:13800138000

返回MD5加密的验证码

验证成功

获得用户名

登陆成功

修复方案:

不可以返回验证码噢.

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价