搜狗桌面论坛业务逻辑错误

漏洞概要

缺陷编号:WooYun-2012-06088

漏洞标题:搜狗桌面论坛业务逻辑错误

相关厂商:搜狐

漏洞作者:墨水心_Len

提交时间:2012-04-15 18:16

公开时间:2012-04-20 18:16

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-15: 细节已通知厂商并且等待厂商处理中
2012-04-15: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-20: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

当用户的积分少于20时,不能修改个人资料。

详细说明:

步骤:1、登录搜狗桌面论坛进入个人中心页;2、修改个人资料并提交(当前用户的积分少于20);3、程序给出的提示信息为“您的昵称已存在,请更换昵称”,如果写一个新的昵称,提交时给的提示是您的金币少于5,不能设置昵称;如果用户不想修改用户昵称的,只想修改别的信息呢?如自我介绍、联系方式啥的,那积分少于20的话,就永远不能修改了。备注“wooyun 编辑在验证这个问题时,先找个比较大众的名字登录论坛吧。

漏洞证明:

找个很大众的名字;

修复方案:

在想,贵公司的产品设计是怎么为用户考虑的?......

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-20 18:16

厂商回复:

最新状态:

暂无

评价