大米CMS存在0元购物逻辑漏洞(demo演示)

基本字段

漏洞编号:
SSV-95299
披露/发现时间:
2015-07-31
提交时间:
2015-07-31
漏洞等级:
漏洞类别:
其他类型
影响组件:
DamiCMS
漏洞作者:
不能忍
提交者:
Knownsec
CVE-ID:
补充
CNNVD-ID:
补充
CNVD-ID:
补充
ZoomEye Dork:
补充

来源

漏洞详情

贡献者 Knownsec 共获得  0KB

简要描述:

大米CMS存在0元购物逻辑漏洞,当然要注册会员咯。但是可以0元购物

详细说明:

漏洞文件:Web/Lib/Action/MemberAction.class.php //413行 if(!is_numeric($_POST['id'][$i]) || !is_numeric($_POST['price'][$i]) || !is_numeric($_POST['qty'][$i])){continue;} $data['gid'] = $_POST['id'][$i]; //这里把传入的商品id传给了 $data['gid'] $data['uid'] = $_SESSION['dami_uid'];
$data['price'] = (float)M('article')->where('aid='.$data['gid'])->getField('price');//必须,信任客户端表单可以改写哈$_POST['price'][$i] --这个是获取商品价格,但是商品和文章是在同一个表内,也就是说普通的文章也是存在price字段(为空)的。为空就会返回0元,再经过foatval就会变成0.0元,也就是免费了! $data['province'] = $_POST['province']; $data['city'] = $_POST['city']; $data['area'] = $_POST['area']; $data['sh_name'] = $_POST['realname']; $data['sh_tel'] = $_POST['tel']; $data['address'] = $_POST['address']; $data['group_trade_no'] = $group_trade_no; $data['out_trade_no'] = "DB".time()."-".$_SESSION['dami_uid'];
$data['servial'] = $_POST['gtype'][$i]; $data['status'] = 0; $data['trade_type'] = 1; $data['addtime'] = time(); $data['num'] = (int)$_POST['qty'][$i]; $total_fee += ($data['num'] $data['price'])1; $total_num += $data['num']; $trade->add($data); if(strlen($subject)<200){$subject .= $_POST['name'][$i];}
if(strlen($title)<400){$title .= $_POST['name'][$i]."  数量:".$data['num'].' 单价:'.$data['price'].' ';}
} 这里其实就是遍历购物车内的商品,然而获取全部商品的参数。好像他们自己说的: //必须,信任客户端表单可以改写哈$_POST['price'][$i] 呵呵,当然他们忽略了可控的id

漏洞证明:

1.jpg

2.jpg

3.jpg

4.jpg

共 0  兑换了

PoC

暂无 PoC

参考链接

解决方案

临时解决方案

暂无临时解决方案

官方解决方案

暂无官方解决方案

防护方案

暂无防护方案

人气 1654
评论前需绑定手机 现在绑定

暂无评论

※本站提供的任何内容、代码与服务仅供学习,请勿用于非法用途,否则后果自负