漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-06158
漏洞标题：百度贴吧隐私问题
相关厂商：百度
漏洞作者： 随梦逐流
提交时间：2012-04-17 17:51
修复时间：2012-04-18 19:07
公开时间：2012-04-18 19:07
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：1
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-04-17： 细节已通知厂商并且等待厂商处理中
2012-04-18： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
百度贴吧个人动态隐藏没有作用
不论用户是否在百度贴吧选择隐藏个人动态，都能在百度空间看到该用户动态。
对某些别有用心的人来说，是一个好功能，但是对用户有一定危害。
详细说明：
这里我设置为隐藏个人动态
接着看下访问效果
显示已经隐藏
接着我们访问该用户的百度空间
不管是否登录我们都可以访问。选择个人档案
（如果没有隐藏个人档案标签我们可以直接输入
http://hi.baidu.com/用户名/profile
就可以出来。）
选择贴吧发言。
我们就可以看到该用户的回帖记录和发帖记录，
打开后效果
漏洞证明：
=================================================================
修复方案：
设计不当，两个部门设计人员坐下喝喝酒，聊聊该问题。
版权声明：转载请注明来源 随梦逐流@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-04-18 19:07
厂商回复：
感谢您的提交，关于用户发帖数和所发表的帖子是允许检索的，而对于单独的动态提示，hi中是可以单独设置的
最新状态：
暂无
漏洞评价：
评论
-
@水滴 这里似乎是bypass了一个功能
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)