国家基础教育资源网任意账户资料查看(包括明文密码,修改密码那就是小case了)

漏洞概要

缺陷编号:WooYun-2013-020156

漏洞标题:国家基础教育资源网任意账户资料查看(包括明文密码,修改密码那就是小case了)

相关厂商:国家基础教育资源网

漏洞作者:shack2

提交时间:2013-03-18 17:00

公开时间:2013-04-30 17:01

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:15

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2013-03-18: 细节已通知厂商并且等待厂商处理中
2013-03-19: 厂商已经确认,细节仅向厂商公开
2013-03-29: 细节向核心白帽子及相关领域专家公开
2013-04-08: 细节向普通白帽子公开
2013-04-18: 细节向实习白帽子公开
2013-04-30: 细节向公众公开

简要描述:

任意账户资料查看(包括明文密码,修改密码那就是小case了)

详细说明:

无意间浏览到了国家基础教育资源网http://**.**.**.**注册,看看账户资料目测到一个url:http://**.**.**.**/derscn/portal/UserInfoAction.do?method=edit&loginName=mytest001mytest001我注册的账号,目测权绕过,查其他账户资料换admin试试http://**.**.**.**/derscn/portal/UserInfoAction.do?method=edit&loginName=admin居然显示密码

你以为你显示几个黑点,就行了,果断查看源码,密码就在在等我呢

登陆试试,成功

漏洞证明:

无意间浏览到了国家基础教育资源网http://**.**.**.**注册,看看账户资料目测到一个url:http://**.**.**.**/derscn/portal/UserInfoAction.do?method=edit&loginName=mytest001mytest001我注册的账号,目测权绕过,查其他账户资料换admin试试http://**.**.**.**/derscn/portal/UserInfoAction.do?method=edit&loginName=admin居然显示密码

你以为你显示几个黑点,就行了,果断查看源码,密码就在在等我呢

登陆试试,成功

修复方案:

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2013-03-19 21:37

厂商回复:

CNVD确认并复现的述情况,已在19日下午由CNVD通过公开渠道联系上网站管理方(中央电化教育馆)处置。按部分影响机密性、可用性、完整性进行评分,rank=7.48*1.1*1.3=10.696

最新状态:

暂无

评价

  1. 2010-01-01 00:00 0x7c 白帽子 | Rank:0 漏洞数:2)

    =。=