漏洞详情

披露状态:

2014-04-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-05-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

盲打进后台,进的非主要管理员,权限一般。但如果打到重要管理员呢?普通管理员进入之后,可登陆全站会员账号。(原来这么一个小网站每天也收入4-5K)

详细说明:

不需要麻烦,注册,加入XSS代码。然后等消息。

直接COOKIE上后台。

不看不知道,一看吓一跳,这样的一个预装软件小网站,每天纯利润4-5K,吓吓。

漏洞证明:

不需要麻烦,注册,加入XSS代码。然后等消息。

直接COOKIE上后台。

xss001.jpg



002.jpg



003.jpg





不搞了,没兴趣深入,感觉没人回应的。

修复方案:

过滤吧

版权声明:转载请注明来源 sea@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价: