妙思文献管理系统客户端设计缺陷可获数据库明文密码

漏洞详情

披露状态:

2013-12-27: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-03-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

妙思文献管理系统客户端设计缺陷,可得数据库,可造成读者用户身份证号,照片等信息,雇员信息泄露,可删除借阅记录,造成图书丢失

详细说明:

客户端连接远程数据库时,可用Wireshark软件检测封包,可找到数据库明文密码

数据库存的用户密码和管理员密码全是明文

EMPLOYEE,DZXXB,WWWGL,TB_USER这几个表涉及到用户隐私

可造成读者私密信息泄露

图书馆管理员账号密码信息泄露



ltxxb表是借阅记录表

图书馆借阅记录删除后可不归还图书

QQ截图20131226162056.png

漏洞证明:

QQ截图20131226161834.png

password为数据库密码

修复方案:

null

版权声明:转载请注明来源 RoseBoy@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价: