昨天下午14点21分，匿名白帽提交了一个聚美优品任意修改密码漏洞，通过该漏洞可以重置任意用户的密码，仅两个小时后，聚美优品正式修复这个漏洞并公开了细节（大厂，好评），一起来看看这个漏洞吧。根据白帽的描述，首先我们需要给自己发邮件找回密码。请勿点击邮件中的链接，然后向待修改账户邮箱发送找回密码的邮件。当然，我们看不到这封邮件。但是当我们点击刚刚收到的链接时，神奇的事情发生了，我们居然更改了后者的密码。据小编分析，每当我们发送邮件找回密码时，程序都会在COOKIE或SESSION中设置一个标记，表明接下来我们要修改的将是此人的密码。但是程序并不能确定当前的密码找回url属于哪个用户，所以任何一个密码找回url都可以修改当前cookie或者session中标记的人的密码，最终形成这个任意修改密码的漏洞。这个比较少见的案例让白帽们有了找漏洞的想法~同时也提醒了广大程序员，有时候想当然的逻辑可能会导致严重的后果~
