同城旅游存在越权漏洞可影响任意用户信息

漏洞概要

缺陷编号:WooYun-2014-088265

漏洞标题:同城旅游存在越权漏洞可影响任意用户信息

相关厂商:苏州同程旅游网络科技有限公司

漏洞作者:0x70

提交时间:2014-12-23 11:32

公开时间:2014-12-25 14:41

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经修复

Tags标签:

漏洞详情

披露状态:

2014-12-23: 细节已通知厂商并且等待厂商处理中
2014-12-25: 厂商已经确认,细节仅向厂商公开
2014-12-25: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

同城旅游存在越权漏洞可影响任意用户信息

详细说明:

可修改任意用户的名称,性别。我在首页排行榜随便找了个进行修改,莫怪....

漏洞证明:

修复方案:

你们懂的

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:7

确认时间:2014-12-2511:45

厂商回复:

感谢关注同程旅游,这类问题还挺多的,但是不能指哪儿补哪儿。昨天也开会讨论了下要怎么修复,怎么安排各项目自查同类问题,以及怎么整体上避免这种问题。

最新状态:

2014-12-25:已修复,提前公开。稍后将寄出京东礼品卡。

评价

  1. 2010-01-01 00:00 ian 白帽子 | Rank:0 漏洞数:0)

    膜拜

  2. 2010-01-01 00:00 李宇航的小柠檬 白帽子 | Rank:5 漏洞数:1)

    恭喜您获得京东礼品卡-小米note优先购买权==

  • N/A