作业盒子任意用户密码重置

漏洞概要

缺陷编号:WooYun-2015-0126089

漏洞标题:作业盒子任意用户密码重置

相关厂商:作业盒子

漏洞作者:大圣之家

提交时间:2015-07-11 09:50

公开时间:2015-08-25 09:52

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-25: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

看到新闻“刘强东章泽天投资作业盒子布局K12在线教育”,上去稍微看了下。发现了这个玩意...

详细说明:

http://t.knowbox.cn/ModiPassword.aspx验证码为4为数字,可暴力破解

成功的特征如下:

漏洞证明:

http://t.knowbox.cn/ModiPassword.aspx验证码为4为数字,可暴力破解

成功的特征如下:

修复方案:

你懂的

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价