当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2013-017894
漏洞标题：
朵朵网-时尚购物修改任意用户资料
相关厂商：
朵朵网-时尚购物
漏洞作者：
xfkxfk
提交时间：
2013-01-25 21:10
修复时间：
2013-03-11 21:11
公开时间：
2013-03-11 21:11
漏洞类型：
未授权访问/权限绕过
危害等级：
高
自评Rank：
20
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2013-01-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-03-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

朵朵网-时尚购物可修改任意用户资料，如修改收货地址，个人资料等。。。
你说严重不？我也不知道，所以提交了。。。

详细说明：

测试环境：

攻击者：xfkxfk
受害者：test，收货地址编号1794。


1、攻击者xfkxfk可以有自己的收货地址，在修改自己得收货地址时，只要修改url后面的收货地址编号为受害者编号就能进行修改。

===修改任意用户收货地址。===


受害者test收货地址信息如下：

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html


.jpg


攻击者xfkxfk修改受害者test的收货地址信息url：

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html


.jpg


2、除了可以修改地址还可以进行其他设置。

删除收货地址信息url：
http://www.duoduo.com.cn/?member-1794-delRec.html


设置地址为收货人默认地址url：
http://www.duoduo.com.cn/?member-1794-2-setDefault.html


3、验证危害：

a、这里我们可以看到注册用户的详细收货信息，已经是敏感信息泄露了。
b、更重要的是，我把地址修改成我的，并且在这里我们可以把它设为默认收货地址，大意的用户只要选择默认收货地址我就可以再家里坐等收货了。。。
c、这里我什么也没做，只是测试了一下，不要封我号啦。。。


4、

=====修改结果见漏洞证明=====

漏洞证明：

1.jpg


2.jpg

修复方案：

控制用户权限。
隐藏用户信息。

版权声明：转载请注明来源 xfkxfk@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝