乐蜂网csrf漏洞可通过改邮箱来改密码 - 网站安全

修改邮箱处存在csrf 漏洞 ，如此一来就可以找回密码啦啦啦

截到的post请求如下：

 

u为用户编号，v为修改的邮箱，这个用户编号在浏览他人主页是可以得到的，请求中的s编号虽然变化但是试了下没什么用。

返回2应该是正确，反正邮箱收到了哈。。邮箱修改成功，也没有任何短信提示，悄无声息了。下面就可以登陆时候点击’忘记密码‘了

 

修复方案：

这个不应该get请求控制

 

查看更多关于乐蜂网csrf漏洞可通过改邮箱来改密码 - 网站安全的详细内容...