漏洞详情

披露状态:

2014-02-25: 细节已通知厂商并且等待厂商处理中
2014-03-02: 厂商已经确认,细节仅向厂商公开
2014-03-05: 细节向第三方安全合作伙伴开放
2014-03-12: 细节向核心白帽子及相关领域专家公开
2014-03-22: 细节向普通白帽子公开
2014-04-11: 细节向实习白帽子公开
2014-05-26: 细节向公众公开

简要描述:

URP综合教务系统目录遍历和非授权访问导致大量用户敏感信息泄露

详细说明:

URP综合教务系统1.3_8

通过目录遍历可以得到“教师教务信息菜单”页面./reportAction.do

该页面未对用户身份是否为教师做严格的检查

在同一浏览器中用学生账号登陆

可在./reportAction.do页面中查看全校所有学生的成绩,个人信息,及大量学校课程管理信息,教师信息。属敏感信息!

漏洞证明:

.JPG



2.JPG



输入学号即可查看任意一个学生的个人信息

3.JPG



可以查看全校学生名单

222.JPG



可以非授权查看学校管理信息,如教师排课表

3434.JPG



修复方案:

建议在“教师教务信息菜单”页面./reportAction.do中对用户的身份做严格检查

版权声明:转载请注明来源 秋风落木@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-03-02 10:37

厂商回复:

最新状态:

暂无


漏洞评价: