### 简要描述：
权限验证设计不当可以绕过
员工可访问任意其他员工的数据并分享及修改删除操作
### 详细说明：
用户 mia 并无负责客户也没有被共享客户
[<img src="https://images.seebug.org/upload/201511/201752589528e9add422ecc9ab96b68e9131b70b.jpg" alt="noinfor.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/201752589528e9add422ecc9ab96b68e9131b70b.jpg)
通过遍历id
可以访问test用户创建的客户
如 http://crm.demo.5kcrm.com/index.php?m=customer&a=view&id=596&content=
[<img src="https://images.seebug.org/upload/201511/2017573854e42c3da6dbea6fd6705bfc3f8490c7.jpg" alt="20.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/2017573854e42c3da6dbea6fd6705bfc3f8490c7.jpg)
### 漏洞证明：
用户mia和test无上下级关系
[<img src="https://images.seebug.org/upload/201511/201759174d5d8d32217a5aae3965bec80a64a04d.jpg" alt="nopermit.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/201759174d5d8d32217a5aae3965bec80a64a04d.jpg)
mia可以访问test未分享的客户
[<img src="https://images.seebug.org/upload/201511/201758503f973f783139df683742c0a487e68b96.jpg" alt="noshare.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/201758503f973f783139df683742c0a487e68b96.jpg)
mia可以分享该客户给任意员工
[<img src="https://images.seebug.org/upload/201511/20180016bb7d7c22ecb2fcfc740b56b9b3c31b08.jpg" alt="toshare.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/20180016bb7d7c22ecb2fcfc740b56b9b3c31b08.jpg)
通过放入客户池来领取为自己的客户
[<img src="https://images.seebug.org/upload/201511/20180324e1371e2392b7088f9f4697b36498d9eb.jpg" alt="del.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/20180324e1371e2392b7088f9f4697b36498d9eb.jpg)
[<img src="https://images.seebug.org/upload/201511/201803384146e1558a650f1d7dea21386a9032e3.jpg" alt="get.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201511/201803384146e1558a650f1d7dea21386a9032e3.jpg)
可以编辑和删除客户了
密码123456
京公网安备 11010502034610号
暂无评论