[公开漏洞]开源中国某处SQL报错注入可获取敏感数据

开源中国某处SQL报错注入可获取敏感数据 相关厂商： 开源中国 漏洞作者：路人甲 提交时间：2014-07-22 10:40 公开时间：2014-07-22 11:44 漏洞类型：SQL注射漏洞 危害等级：中 自评Rank：5 漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞 漏洞来源：http://www.wooyun.org Tags标签： sqlinject 漏洞详情 披露状态：

2014-07-22：细节已通知厂商并且等待厂商处理中
2014-07-22：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

开源中国某处sql注入

详细说明：

在 http://git.oschina.com/

用的是微擎



微擎通用的洞

WooYun: 微擎-微信公众平台自助引擎系统 注入第一枚(Demo成功)。

WooYun: 微擎-微信公众平台自助引擎系统 注入第二弹 (demo成功)

不知道为什么没补

漏洞证明：

在 http://git.oschina.com/

用的是微擎



微擎通用的洞

WooYun: 微擎-微信公众平台自助引擎系统 注入第一枚(Demo成功)。

WooYun: 微擎-微信公众平台自助引擎系统 注入第二弹 (demo成功)

不知道为什么没补

修复方案：

无

版权声明：转载请注明来源 路人甲@乌云

漏洞回应 厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-22 11:44

厂商回复：

这是 OSChina 的吗？ 我们没有 PHP 的东西

最新状态：

2014-07-22：OSChina 的域名是 git.oschina.net