众乐活动平台建站系统存在严重漏洞

漏洞概要

缺陷编号:WooYun-2012-06386

漏洞标题:众乐活动平台建站系统存在严重漏洞

相关厂商:众乐活动平台

漏洞作者:lazypeople

提交时间:2012-04-25 18:58

公开时间:2012-06-09 18:59

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-25: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-09: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

众乐活动平台建站系统存在mysql injection 严重漏洞,建设的系统包括蒙牛酸酸乳等等有一定影响力的网站。其中蒙牛酸酸乳数据库中存有大量新浪,人人用户登录的授权token信息

详细说明:

开始简单简介我还以为蒙牛酸酸乳http://www.mnssr.com 是自己建设的站点,后台猜测了下后台发现是http://www.zhongle.com/ 众乐活动平台的作品,其中不乏大客户例如蒙牛,伊利等等,而且用户登录投票很多,数据库中记录了用户微博的token等信息,包括新浪人人,开心,爱粉丝等第三方token信息,信息泄露后可以发布信息,有极大的安全隐患。注入点:http://www.mnssr.com/index.php?app=star&mod=Index&act=detail&s=66

漏洞证明:

修复方案:

严格过滤参数

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:9 (WooYun评价)

评价