土豆网分成管理系统部分页面权限设置不严

漏洞概要

缺陷编号:WooYun-2012-011468

漏洞标题:土豆网分成管理系统部分页面权限设置不严

相关厂商:土豆网

漏洞作者:Michael

提交时间:2012-08-28 16:29

公开时间:2012-10-12 16:29

漏洞类型:未授权访问/权限绕过

危害等级:低

自评Rank:2

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-08-28: 细节已通知厂商并且等待厂商处理中
2012-08-29: 厂商已经确认,细节仅向厂商公开
2012-09-08: 细节向核心白帽子及相关领域专家公开
2012-09-18: 细节向普通白帽子公开
2012-09-28: 细节向实习白帽子公开
2012-10-12: 细节向公众公开

简要描述:

土豆网分成管理系统部分页面权限设置不严。后台各项菜单功能链接泄露。此外A用户组的用户用户可访问B用户组的部分页面。

详细说明:

在土豆网分成系统(http://fencheng.tudou.com)访问任意页面可得到:

其中包含各用户组后台菜单的路径:

使用本人的土豆网豆角账户(ROLES_DIRECTOR权限)登录后尝试了部分链接,发现可以访问ROLES_CP权限的“CP分成统计”和“CP结算记录”两个页面。

漏洞证明:

根据菜单信息可知当前用户为ROLES_DIRECTOR权限,但却可访问需要ROLES_CP权限的内容。由于我只有豆角账号,无法测试其他账号登录情况下的验证判断情况。(网页里的文字是土豆家的家规,模糊了。XD)

修复方案:

完善权限验证。修复404页面。

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2012-08-29 10:43

厂商回复:

最新状态:

暂无

评价