B3log Solo查看任意用户密码

admin · 发表于 2013-1-31 11:52:20

B3log Solo后台一处未经合理权限验证的交互接口可查看任意用户信息，包括明文密码。目前官方最新Release 0.5.5受此漏洞影响，所有平台用户均有泄漏密码的威胁。

漏洞地址：http://xxx/console/user/[userId]

该接口用于查看用户信息，是管理员用户管理插件的接口。该接口只验证了用户是否登录，而未验证用户权限，虽然普通用户后台管理界面无显式链接，但是登录后可直接访问该地址获取信息。

修复方案：
1、改明文密码为密文。
2、增加权限验证。

透明他妈 · 发表于 2013-1-31 16:07:31

声明一下：本人看贴和回贴的规则，好贴必看，精华贴必回。

梓喵丶 · 发表于 2013-2-5 10:33:20

顶一个先

yms004 · 发表于 2013-2-7 12:07:25

在她兜里放些零钱，在她不常用的兜里放张一百。

宁静的 · 发表于 2013-2-13 19:05:02

其实回帖算是一种没德德，所以我快成圣人了

dicol · 发表于 2013-2-14 10:41:52

提示: 作者被禁止或删除内容自动屏蔽

抽根烟点寂寞 · 发表于 2014-9-20 10:29:02

呵呵高高实在是高~~~~~

隐梦 · 发表于 2014-12-26 11:49:50

我假装认真地工作，老板假装认真地付薪水

... · 发表于 2015-1-26 14:23:19

我在顶贴~！~

柒月大神们 · 发表于 2015-2-28 17:37:59

支持你加分

dicol dicol 当前离线积分 151 窥视卡雷达卡	发表于 2013-2-14 10:41:52 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
dicol dicol 当前离线积分 151 窥视卡雷达卡
	回复支持反对使用道具举报显身卡