百度HI客户端中可看到绑定邮箱

漏洞概要

缺陷编号:WooYun-2012-06556

漏洞标题:百度HI客户端中可看到绑定邮箱

相关厂商:百度

漏洞作者:Say

提交时间:2012-04-30 13:22

公开时间:2012-06-14 13:23

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:5

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-04-30: 细节已通知厂商并且等待厂商处理中
2012-05-02: 厂商已经确认,细节仅向厂商公开
2012-05-12: 细节向核心白帽子及相关领域专家公开
2012-05-22: 细节向普通白帽子公开
2012-06-01: 细节向实习白帽子公开
2012-06-14: 细节向公众公开

简要描述:

我描述什么呢 =0=

详细说明:

首先说说绑定邮箱的事百度HI上添加的联系人,可以直接看到对方的绑定邮箱这个这个 你们好歹加个*之类的东西挡一挡吧自己登个人中心都看不到的东西....然后说说改密码的问题

不觉得这个安全中心的地址没有跟上v2的更新吗?可以绕过邮件验证直接改密码具体怎么利用..加上HI的UA之类的提交信息就可以用软件模拟了

漏洞证明:

- - 怎么证明,你们自己试试就知道了

修复方案:

。。管我什么事!

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2012-05-02 14:10

厂商回复:

绕过验证改密码的地方确实需要重视一下

最新状态:

暂无

评价

  1. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    悲剧 配图配反了...

  2. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    你这个漏洞名字,还是珍惜下自己的ID吧

  3. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @xsser = = 我词穷...说着说着我就怕说漏嘴了

  4. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @xsser 好吧 原来提交完不能重编辑...我下次注意...