新浪微博一个低级加粉丝漏洞,可让你的帐号关注任何人

漏洞概要

缺陷编号:WooYun-2012-016284

漏洞标题:新浪微博一个低级加粉丝漏洞,可让你的帐号关注任何人

相关厂商:新浪微博

漏洞作者:小智

提交时间:2012-12-20 16:57

公开时间:2013-02-03 16:58

漏洞类型:未授权访问/权限绕过

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-20: 细节已通知厂商并且等待厂商处理中
2012-12-20: 厂商已经确认,细节仅向厂商公开
2012-12-30: 细节向核心白帽子及相关领域专家公开
2013-01-09: 细节向普通白帽子公开
2013-01-19: 细节向实习白帽子公开
2013-02-03: 细节向公众公开

简要描述:

新浪微博测试账号不严格,泄露一些没严格审核的企业应用,导致可以可以利用加粉。其实我也不知道选哪个类型

详细说明:

小米好像要搞微博销售,然后发现新浪有2个账号在测试他们的新功能分别为:cuitest405 和cuitest404cuitest405 的里面一个企业应用(应该是测试用吧)没严格加粉的过程。不过我觉得测试应该在内部进行吧~

漏洞证明:

1、首先访问:http://e.weibo.com/2355674321/app_30141053782、再访问:http://tpzj.sinaapp.com/index/fansAjax?jsoncallback=jQuery1820652718611061573_1355988952059&target_uid=微博id&_=1355988966616当然也可以直接写在一个js里面或者html里面可以看看这个测试网页:http://bowos.com/addfans.html

微博上随便找了一个uid,填入url中

果真关注上了。。。

喔喔,还有一个新浪泄露了源码地址。http://hd.e.weibo.com/prize/winner?actid= 不过也没啥,顺带一提

修复方案:

删掉吧……

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2012-12-20 17:50

厂商回复:

感谢提供, 已经在处理了。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    不明白。。

  2. 2010-01-01 00:00 风萧萧 白帽子 | Rank:874 漏洞数:67)

    csrf

  3. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    说白了就是两个请求额,有大量的额uid就可以刷粉丝了额。