漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-012882
漏洞标题：鲜果网泄露用户敏感信息
相关厂商：鲜果网
漏洞作者： 风萧萧
提交时间：2012-09-29 14:22
修复时间：2012-11-13 14:23
公开时间：2012-11-13 14:23
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-09-29： 细节已通知厂商并且等待厂商处理中
2012-09-30： 厂商已经确认，细节仅向厂商公开
2012-10-10： 细节向核心白帽子及相关领域专家公开
2012-10-20： 细节向普通白帽子公开
2012-10-30： 细节向实习白帽子公开
2012-11-13： 细节向公众公开
简要描述：
鲜果网很重视XSS，不知道用户身份信息重不重视？
其实我听说鲜果的礼物很给力所以。。。
详细说明：
1.鲜果android应用应该至少有两款，一款叫鲜果读书，另一款叫鲜果联播。实际上这两款应用均存在泄漏用户隐私的问题。
2.鲜果读书android应用的下面文件泄漏用户隐私，如泄漏用户邮箱，用户名。密码等：
3.鲜果联播android应用的下面文件泄漏用友隐私，如泄漏用户邮箱，用户名。密码等：
漏洞证明：
4.另外，之前测试客户端应用的用户反馈处可插入xss代码，由于没有能登入后台所以没发出来，这次一起发吧：
5.成功钓到管理员同学：
修复方案：
1.用户隐私可加密存储，也可采用其他方式认证而不用将用户敏感数据保存在客户端；
2.XSS的做好过滤就可以了；
3.网站后台最后不要开发在公网。
4.我是路过的，顺便来求礼物
版权声明：转载请注明来源 风萧萧@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-09-30 07:48
厂商回复：
感谢@风萧萧同学， android平台的问题，会反馈给android组同学。 反馈问题已有olny_guest同学优先反馈了，依然感谢哈。
最新状态：
暂无
漏洞评价：
评论
-
@YunDay 嗯，慕名而来
-
@风萧萧 都怪我.
-
@shack2 不管有没有礼物，能挖到洞的都是好老鼠.....
-
@imlonghao 有几天了，自评RANK只对厂商公开，很早剑总就提过这个事了
-
@鲜果网 鲜果的那个复古的杯子超有爱啊！！！
( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)