神刀安全网

漏洞标题: APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

漏洞详情

披露状态:

2016-04-12: 细节已通知厂商并且等待厂商处理中
2016-04-17: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

http://www.lieyunwang.com/archives/78111

缘创派联合创始人王翌:15小时融资2000万

详细说明:

code 区域
location : http://api.ycpai.com/admin/ycpai_center/user_list/?menuid=60&page=10
toplocation : undefined
cookie : admin_email=admin%40admin.com; admin_info=SSoBFXR0AEM%3D; admin_username=ycpai2013; CNZZDATA1256964697=1947799529-1459908001-%7C1459908001; JSESSIONID=aaayG4IlYvaV8dJdejSpv; PHPSESSID=fto70c5450u4u126o2d9fk59d6; userid=1; acid=8443; asc=ede14e521f633f357b9db6c4056d0dc6; pgv_pvi=4117479424

30万用户。。 人真多~~~

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

奇葩的来了。。

后台有个万能验证码功能

我QQ前4位数,哈哈

src="/upload/201604/12165051cd312025fba3d4fb43dcc3ec37da2064.jpg" alt="6.jpg" />

我QQ $_$4位数,哈哈

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

找回密码 13669801771 验证码 1898

下单人:马伟均

手机:13669801771

http://www.ycpai.com/h5/partner/partner_list?login_code=

账号 13669801771 直接输入验证码 1898 成功进入

漏洞标题:  APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

漏洞证明:

11

修复方案:

11

版权声明:转载请注明来源 小龙@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: APP安全之缘创派可操控30万用户(可封IP/发放点卡/泄露大量创业者敏感信息/后台奇葩功能可重置任意密码)

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮