360shop淘店通越权操作可获取其他用户敏感信息

漏洞详情

披露状态:

2013-12-30: 细节已通知厂商并且等待厂商处理中
2014-01-04: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-03-27: 细节向公众公开

简要描述:

360shop最新版淘店通2代某处越权操作。

详细说明:

360shop 最新版,淘店通2代,可查看,修改任意用户收货地址信息。

测试站点为官方最新版演示站:

http://zhangheng.v2.taodiantong.cn



测试了官方案例,老版也存在同样注入。

我们先在官方最新版演示站:http://zhangheng.v2.taodiantong.cn注册一个账号111111@111.com

然后添加自己的收货地址,我的收货地址ID是4:

1.png



这是我自己的收货地址信息:

2.png



然后我们来修改我们的地址信息,然后抓包:

3.png



把我这里的地址ID=4改成其他的ID就能看到对应ID的收货地址信息。

这里我们改成2:

4.png



成功看到ID为2的地址信息。

这样的话,我们就可以遍历这个ID获取全站用户的信息了:

如下图,我们遍历这个id,然后就能收集到全站用户的收货地址信息。

5.png

漏洞证明:

见详细说明

修复方案:

控制用户权限及用户属性。

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-01-04 11:31

厂商回复:

最新状态:

2014-01-13:谢谢提供


漏洞评价: