没有平行权限控制。

搜房帮ERP-房产业务管理系统各模块均未有平行权限控制,可操作其他用户各模块功能、盗取用户帐号

举几个可利用的:

1、查看其他用户信息

搜房网某系统权限控制不严可操作同系统下其他用户数据


2、查看其他公司内部资讯、内部资讯未过滤可跨站

搜房网某系统权限控制不严可操作同系统下其他用户数据


根据上面越权查看其他用户信息后,发邮件钓鱼很容易。

搜房网某系统权限控制不严可操作同系统下其他用户数据


3.修改其他用户发布的房源信息,

搜房网某系统权限控制不严可操作同系统下其他用户数据

搜房网某系统权限控制不严可操作同系统下其他用户数据


"敏感备注"可跨站,越权修改其他用户的房源信息,用户下次进入修改时跨站。


搜房网某系统权限控制不严可操作同系统下其他用户数据


 


4、多处存在注入的,但有做过滤防护,

举例:

?newsid=4

?deptid=********&deptlevel=1&txtInnerUserID=18
 

修复方案:

验证用户