Ecshop v2.7.2存在用户权限越权漏洞

2016-07-07 15:13 来源：www.chinab4c.com 作者：ecshop专家

Ecshop v2.7.2存在用户权限越权漏洞

影响版本: ecshop v2.7.2

漏洞描述:

登录用户可以操作其它用户的信息 1.用户修改收货地址时，提交前将隐藏的address_id修改为其它的id,可将他人的收货地址消除(同时新增一条收货地址) 2.用户虽然不能查看其它用户的订单，但可以查看非自己订单的留言，并为订单留言(更改url地址的order_id即可)

测试方法:
1、http://localhost/ecshop_gbk272/user.php?act=address_list “确认修改”前修改address_id

2、http://localhost/ecshop_gbk272/user.php?act=message_list& order_id=20(任意更改id测试)

临时解决办法： 执行数据库操作前严谨判断用户是否应该有查看、操作权限 厂商补丁： ecshop ---- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：