神刀安全网

漏洞标题: APP安全之胖虎一处XSS(后台交易金额达400w人民币)

漏洞详情

披露状态:

2016-04-05: 积极联系厂商并且等待厂商认领中,细节不对外公开
2016-05-20: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

胖虎网是一个为二手奢侈品卖家和消费者提供查询,评估,鉴定,回收,寄售等各种专业服务的移动APP,致力于让用户手中的闲置二手奢侈品流动起来,打造一个安全可靠便捷实惠的二手奢侈品交易平台。
胖虎网是国内首家C2B2C形式的二手奢侈品电子商务网站,针对卖家及买家提供专业细致的点对点服务,教你买帮你卖,对回收或者寄售的二手奢侈品进行鉴定、保养后
  ,在胖虎网站和胖虎APP以及各实体店进行销售,并对售出的商品提供售后和回购的服务。
  胖虎网已具备成为中国二手奢侈品行业协会理事单位的全部资格,在产品投入运营之后,将正式成为协会理事单位。
胖虎是国内首家C2B2C形式的二手奢侈品电子商务网站,针对卖家及买家提供专业细致的点对点服务,教你买帮你卖,对回收或者寄售的二手奢侈品进行鉴定、保养后
  ,在胖虎网站和胖虎APP以及各实体店进行销售,并对售出的商品提供售后和回购的服务。 如果你有闲置奢侈品,只要在胖虎平台上传图片发布,即可轻松变现;如果你想买奢侈品,又荷包不足,即可登录胖虎挑选您中意的低价奢侈品。[1-2]

详细说明:

下载 胖虎 APP,反馈建议输入xss

得到cookie:

code 区域
location : http://www.ponhu.cn/index.php/Adminph/Yijian/index
toplocation : http://www.ponhu.cn/index.php/Adminph/Yijian/index
cookie : PHPSESSID=n5nd4q3ankvvrgi9kd7rqut8p7

登陆进去

发现交易额达400w,又是土豪公司。。

漏洞标题:  APP安全之胖虎一处XSS(后台交易金额达400w人民币)

订单列表

漏洞标题:  APP安全之胖虎一处XSS(后台交易金额达400w人民币)

红包

漏洞标题:  APP安全之胖虎一处XSS(后台交易金额达400w人民币)

用户管理i

漏洞标题:  APP安全之胖虎一处XSS(后台交易金额达400w人民币)

漏洞证明:

11

修复方案:

11

版权声明:转载请注明来源 小龙@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: APP安全之胖虎一处XSS(后台交易金额达400w人民币)

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址