Zuvio邏輯漏洞 - HITCON ZeroDay

Vulnerability Overview

ZDID: ZD-2023-00117
發信 Vendor: 主網站
Title: Zuvio邏輯漏洞
Introduction: 利用編輯文章的引用文章功能，可以看到已刪除之文章

處理狀態

目前狀態

公開

Last Update : 2023/05/10

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2023/03/10 22:37:21 : 新提交 (由 handsome_boy 更新此狀態)
2023/03/10 22:43:03 : 新提交 (由 handsome_boy 更新此狀態)
2023/03/13 12:23:54 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/03/15 11:47:04 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/03/15 11:47:04 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/03/15 11:47:04 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2023/05/10 03:00:08 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2023-00117
通報者：glass860 (handsome_boy)
風險：低
類型：邏輯漏洞 (Logic Flaws)

參考資料

攻擊者可經由該漏洞繞過網站邏輯行為進行惡意攻擊。

漏洞說明： OWASP - Testing for business logic
https://www.owasp.org/index.php/Testing_for_business_logic

漏洞說明： CWE-840: Business Logic Errors
https://cwe.mitre.org/data/definitions/840.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

1.有些文章不存在(如網址https://irs.zuvio.com.tw/student5/chickenM/article/212725)再刪除後看不到

2.利用「引用此文章發文」之功能，可以引用刪除過後的文章

備註：多方驗證過，文章ID:212710，也是被刪除的文章但可以透過此功能還原觀看

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。