密码修改

漏洞描述：密码修改功能常采用分步骤方式来实现，攻击者在未知原始密码的情况下绕过某些检验步骤修改用户密码。

---

测试方法：

1. 测试修改／重置密码的正常流程；

2.绕过检验原密码等步骤，直接访问输入新密码页面，输入新密码，修改／重置密码。

---

风险分析：有些密码修改／重置流程采用step=1、step=2类似的方式实现，如果应用校验不全面，攻击者可绕过前面的步骤，直接访问最后一步，输入新密码进行修改／重置。

---

风险等级：

【高危】：绕过原密码验证或绕过验证码

---

修复方案：一次性填写校验信息（原始密码、新密码等）后再提交修改／重置密码请求。