豆瓣某模块(需登录)可以任意修改主题(越权)

漏洞详情

披露状态:

2014-02-24: 细节已通知厂商并且等待厂商处理中
2014-02-24: 厂商已经确认,细节仅向厂商公开
2014-03-06: 细节向核心白帽子及相关领域专家公开
2014-03-16: 细节向普通白帽子公开
2014-03-26: 细节向实习白帽子公开
2014-04-10: 细节向公众公开

简要描述:

登陆账号可以修改其他人发布的主题内容

详细说明:

参考 WooYun: 豆瓣某模块(当然是任意咯)信息也可以匿名用户任意修改

登陆自己的账号,访问网站http://movie.douban.com/subject/24736566/questions/4159/?from=question_hot_all

1.png



修改URL为http://movie.douban.com/subject/24736566/questions/4159/edit

可以编辑问题

2.png



更新问题

3.png



漏洞测试之后已经改回原样。

漏洞证明:

3.png

修复方案:

限制权限

版权声明:转载请注明来源 清炒柚子@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-02-24 14:46

厂商回复:

谢谢反馈,已经修复〜

最新状态:

暂无


漏洞评价: