正文

目标为REDACTED.COM,有问题的是团队功能.

创建了两个账户:

帐户A

帐户B

在这个应用程序中，有两个不同的角色：

管理员(Administrator)和普通员工

管理员:它拥有所有的管理员权限，如邀请员工，邀请管理员，删除/删除管理员/员工，但它没有删除或删除超级管理员的权限。

员工(所拥有的权限):与员工相关的工作，如创建任务、修改任务等。但没有邀请或删除任何人的特权。

帐户A(超级管理员)邀请帐户B作为管理员。

账号B接受了邀请，但是他/她没有删除“账号A/超级管理员”的权限

现在账户A，移除账户B,帐户B也已成功删除

但是当我检查帐户B时，它仍然拥有所有的访问权限，现在尝试创建任务，但它给我一个错误:“系统警报:检索数据时出现问题”

在设置中，有一个团队选项，在团队选项下有一个“特权配置文件”选项，当我点击这个选项时，它显示了两个配置文件，一个是帐户A(超级管理员)，另一个是帐户B(邀请帐户)。

两个帐户都有一个操作选项卡，点击它，它显示3个选项:

• 编辑
• 重复
• 删除

这里，我试图删除帐户A(超级管理员)，它返回一个错误:“你没有特权访问这个资源”,然而，当我去到帐户A(超级管理员)，它的超级管理员的特权被删除，此时帐户A也不再能够邀请任何其他用户作为“管理员角色”

帐户A(超级管理员)现在是普通成员(工作人员)

如果你是一个长期主义者，欢迎加入我的知识星球(优先查看这个链接，里面可能还有优惠券)，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

往期回顾

2022年度精选文章

SSRF研究笔记

xss研究笔记

dom-xss精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips

福利视频

笔者自己录制的一套php视频教程(适合0基础的),感兴趣的童鞋可以看看,基础视频总共约200多集,目前已经录制完毕,后续还有更多视频出品

https://space.bilibili.com/177546377/channel/seriesdetail?sid=2949374

技术交流

技术交流请加笔者微信:richardo1o1 (暗号:growing)