漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014524
漏洞标题：淘宝网敏感信息泄露
相关厂商：淘宝网
漏洞作者： 又想
提交时间：2012-11-09 01:11
修复时间：2012-11-14 01:12
公开时间：2012-11-14 01:12
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-09： 细节已通知厂商并且等待厂商处理中
2012-11-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
淘宝网新的个人主页加入了新的模板 提供了分享相册心得日志等个人空间设置 但其中一项把关不严 造成其他人敏感信息泄露
详细说明：
淘宝网新的个人主页加入了新的模板 提供了分享相册心得日志等个人空间设置 但其中一项把关不严 造成其他人敏感信息泄露
漏洞证明：
1、登陆自己的淘宝账户
2、随意浏览商品，因为和泻露隐私有关，所以浏览成人用品（成人用品的购买评价都是匿名的。为了体现漏洞的程度，选择女用工具。），只要打开页面就好，不需要其他操作。
3、把2打开的女用工具的页面关掉，点击页面上方的“我的淘宝”，如图。
4、在“最近浏览过的”下边，排第一的位置，就出现了刚才浏览过的女用工具的产品。
5、点击下方的“看新分享”。然后就出现了对于这个产品的评价，而这些评价，都是买过的人进行的评价。但在产品界面，都是匿名的评价。但在这里，却是实名的。
6、你还可以点击用户名进入该用户的个人页面，查看TA的资料，照片，日志，曾经买过的东西等等TA的信息。
7、这个问题的应用的话，第一位的是骚扰，就比如上边的图3。我可以每个人都发送消息，问他们用的怎么样等等的，她们肯定好奇别人怎么会知道的，对她们的心理有影响，毕竟买这些东西，别人来询问等等的。这些信息是个人的隐私。被骚扰的发生自然对淘宝的保密措施有一定的影响。第二个应用，对特定人群进行广告的定位推送。比如给那些买男用品的人发小*的广告，等等。
修复方案：
我不知道 不会。你们看着办吧。
版权声明：转载请注明来源 又想@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-11-14 01:12
厂商回复：
最新状态：
暂无