多政府在用的政府服务中心系统通用多处越权 | wooyun-2014-066231

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2014-066231

漏洞标题：

多政府在用的政府服务中心系统通用多处越权

漏洞详情

披露状态：

2014-07-09：细节已通知厂商并且等待厂商处理中
2014-07-14：厂商已经确认，细节仅向厂商公开
2014-07-17：细节向第三方安全合作伙伴开放
2014-09-07：细节向核心白帽子及相关领域专家公开
2014-09-17：细节向普通白帽子公开
2014-09-27：细节向实习白帽子公开
2014-10-07：细节向公众公开

简要描述：

多处越权操作，可恶意增删改

详细说明：

程序名称：人民政府服务中心
开发公司：深圳太极软件有限公司（http://www.sztaiji.com/）
漏洞类型：未授权访问
漏洞文件：/view/manager/left.jsp
/menu/menuAction.action
/bgxz/bgxzAction_executeBack.action
/yhdl/yhdl_goChange.action
/tscz/backTsczAction_showList.action?type=1&isHuiFu=3
/tscz/backTsczAction_showList.action?type=2&isHuiFu=3
/tscz/tsczAction_backShowList.action?type=3&isHuiFu=3
/myddc/myddc_backIndex.action?currentPage=1
/view/com/tjsoft/module/admin/admin.jsp
/spdt/spdt_backListDeptContent.action
/view/com/tjsoft/module/bgxz/bgxz-index.jsp
是否需要登录：否
关键词：百度：inurl:indexAction.action
inurl:zxjbAction_showInfo.action?wid=
影响用户：百度收集

贵州省安顺市人民政府政务服务中心 
http://zwzx.anshun.gov.cn/indexAction.action
兴义市人民政府政务服务中心 
http://zwzx.gzxy.gov.cn/indexAction.action 
纳雍县政务服务中心 
http://nyzw.gov.cn/indexAction.action 
清镇市人民政府政务服务中心 
http://www.qzasc.cn/indexAction.action
息烽县人民政府政务服务中心 
http://zwzx.xifeng.gov.cn/indexAction.action 
六盘水市人民政府政务服务中心 
http://61.159.149.200/indexAction.action
东港市行政服务中心 
http://fuwu.donggang.gov.cn/indexAction.action 
北票市公共行政服务中心 
http://211.140.246.58:8080/indexAction.action 
牡丹江市行政服务中心 
http://mdjsp.gov.cn/indexAction.action
丹东市行政服务中心
http://ddpas.dandong.gov.cn/indexAction.action