拍鞋网某功能存在未授权访问漏洞

编号226294
Urlhttp://www.wooyun.org/bug.php?action=view&id=226294
漏洞状态漏洞已经通知厂商但是厂商忽略漏洞
漏洞标题拍鞋网某功能存在未授权访问漏洞
漏洞类型未授权访问/权限绕过
厂商paixie.net
白帽子路人甲
提交日期2016-07-07 09:45:00
公开日期2016-07-07 10:54:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签敏感信息泄露
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank0
漏洞简介
    就是想买个鞋子 来看看
漏洞细节

首先我注册了两个账号方便我测试 账号1:990099001@qq.com 账号2:99009902@qq.com
可能职业病吧 老爱看看收货地址那有没有什么好玩的

于是我就拿我的测试账号1来修改收货地址抓包看看

拍鞋网1.png

看到下面那一部分好像有点什么好玩的 我试试测试账号2也做同样的事情

拍鞋网2.png

好显眼啊 这数字貌似都能改 我改成测试账号1的数字试试

已修改.png

我勒个去A.A 我的名字咋变成测试账号1的名字了

已修改.png

我再试试其他数字 唔.....比如 1

变变变2.png

果然又变了..... 后面的几串数字是否还能泄露 地址电话等信息呢? 急着买鞋子.....就不深入了 希望及时修复!

POC

见详细说明

修复方案

你们比我更懂!

状态信息 2016-07-07: 细节已通知厂商并且等待厂商处理中
2016-07-07: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复您这边转成正常文字,你会发现,这个%E6%B5%8B%E8%AF%951中文字是测试1
这个%E6%B5%8B%E8%AF%952的中文字是测试2;
您这边修改的字符串相当于,你自己在文档本输入,不存在漏洞.
回应信息危害等级:无影响厂商忽略忽略时间:2016-07-07 10:54