中华英才网重置任意用户密码

漏洞概要

缺陷编号：WooYun-2015-0117458

漏洞标题：中华英才网重置任意用户密码

相关厂商：中华英才网

漏洞作者：路人甲

提交时间：2015-06-01 16:43

公开时间：2015-06-11 20:43

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经修复

Tags标签：

漏洞详情

披露状态：

2015-06-01: 细节已通知厂商并且等待厂商处理中
2015-06-04: 厂商已经确认，细节仅向厂商公开
2015-06-11: 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

中华英才网重置任意用户密码

详细说明：

我才发现，牛B的手机号码修改成功，但是登陆不上去， 试了好几个普通的手机号都可以这次以 13257904843 重置为例， 厂商可以用自己的手机号码复测

漏洞证明：

修复方案：

上次提交过1次，厂商还可以，但是老给10不好吧，希望给高点

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-06-0411:34

厂商回复：

感谢您的关注，我们会尽快修复，谢谢

最新状态：

2015-06-11：已添加相应限制，漏洞已修复，感谢您的帮助

评价

  1. 2010-01-01 00:00 Observer 白帽子 | Rank:23 漏洞数:2)

    WooYun: 中华英才网可重置任意用户密码(设计存在漏洞) 不会是这个吧

点赞(0)