2024-02-07发现的漏洞

可能是我在编辑什么东西或者是在瞎按一通的时候发现的 总之我看见了这个链接

https://www.kechuang.org/editor?ver=ue&type=modifyThread&id=文号

这个链接对应的是用来编辑文章/回复的页面,只需要GET这个网址就会返回对应文号的内容 所以..... 我试了试别人文章/回复的文号,可以读取. 那么.... 我试了试不能浏览的文章/回复的文号 结果....... 成功返回对应文号的内容.

可以随意看一些不该看的内容,当然我只是简单的试了几个文章,并未有再多尝试了

象征性打码+视频上传压缩后的保密级画质

创作中心 - [InPrivate] - Microsoft​ Edge 2024-02-07 19-35-56.mp4  点击下载 ‎

查看科创的github项目的拉取记录即可了解具体原因和修复方法

fix: 修复编辑器页权限问题 by pxgo · Pull Request #948 · kccd/nkc (XXXXXXXXXX)

话说有没有人去试试开源的科创能不能搭建起来   kccd/nkc: 科创研究院 (XXXXXXXXXX)

刮彩票:

还有一个未修复的任意文章读取,读取会留下明显痕迹(打开对应文章网页就会发现痕迹), 还还有一个任意分区名称读取漏洞,以后有时间再BB

成功通过两个账号刷取8个点赞