极客学院某服务未授权访问/可执行清空/删除操作

编号219238
Urlhttp://www.wooyun.org/bug.php?action=view&id=219238
漏洞状态漏洞已经通知厂商但是厂商忽略漏洞
漏洞标题极客学院某服务未授权访问/可执行清空/删除操作
漏洞类型系统/服务运维配置不当
厂商jikexueyuan.com
白帽子路人甲
提交日期2016-06-15 10:20:00
公开日期2016-06-15 11:20:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签安全意识不足 安全意识不足
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank0
漏洞简介
极客学院某服务未授权访问/可执行清空、删除操作
漏洞细节

http://123.206.77.131:8080/


nsqadmin未授权访问,可用于用于实时查看集群的统计数据(并且执行各种各样的管理任务)。

BFE32D04-C663-4C19-B48B-3A376FF5D798.png


0CF90BEC-C583-42F0-9713-AC592525EE59.png

57537D67-3E8C-40C9-A086-5860918267B7.png


53A93C20-0981-4475-864E-0E838F41CE07.png

POC

rs

修复方案

加个acl?

状态信息 2016-06-15: 细节已通知厂商并且等待厂商处理中
2016-06-15: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复感谢作者,已经废弃掉的测试环境
回应信息危害等级:无影响厂商忽略忽略时间:2016-06-15 11:20