当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-06158

漏洞标题:百度贴吧隐私问题

相关厂商:百度

漏洞作者: 随梦逐流

提交时间:2012-04-17 17:51

修复时间:2012-04-18 19:07

公开时间:2012-04-18 19:07

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:1

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-04-17: 细节已通知厂商并且等待厂商处理中
2012-04-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

百度贴吧个人动态隐藏没有作用
不论用户是否在百度贴吧选择隐藏个人动态,都能在百度空间看到该用户动态。
对某些别有用心的人来说,是一个好功能,但是对用户有一定危害。

详细说明:

这里我设置为隐藏个人动态


接着看下访问效果
显示已经隐藏


接着我们访问该用户的百度空间


不管是否登录我们都可以访问。选择个人档案
(如果没有隐藏个人档案标签我们可以直接输入
http://hi.baidu.com/用户名/profile
就可以出来。)
选择贴吧发言。


我们就可以看到该用户的回帖记录和发帖记录,


打开后效果

漏洞证明:


=================================================================

修复方案:

设计不当,两个部门设计人员坐下喝喝酒,聊聊该问题。

版权声明:转载请注明来源 随梦逐流@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-18 19:07

厂商回复:

感谢您的提交,关于用户发帖数和所发表的帖子是允许检索的,而对于单独的动态提示,hi中是可以单独设置的

最新状态:

暂无


漏洞评价:

评论

  1. 2012-04-18 01:50 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    什么什么公开平台本来就是允许索引的这是以前的回答

  2. 2012-04-18 13:37 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @水滴 这里似乎是bypass了一个功能

  3. 2012-04-18 21:02 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    lz看这个http://www.baidu.com/p/906448610

  4. 2012-04-18 21:02 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    据说还可以查到任意帐号绑定的邮箱手机据说等等等等