漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025052
漏洞标题：优酷某功能的订单可以遍历
相关厂商：优酷
漏洞作者： 齐迹
提交时间：2013-06-03 08:59
修复时间：2013-07-18 08:59
公开时间：2013-07-18 08:59
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-03： 细节已通知厂商并且等待厂商处理中
2013-06-03： 厂商已经确认，细节仅向厂商公开
2013-06-13： 细节向核心白帽子及相关领域专家公开
2013-06-23： 细节向普通白帽子公开
2013-07-03： 细节向实习白帽子公开
2013-07-18： 细节向公众公开
简要描述：
遍历所有订单，基本上可以帮优酷做报表分析了！
详细说明：
这个漏洞本生危害不是很大 要是落到竞争对手手里事情就不简单了！
问题发生在
http://vip.youku.com/account/trade.html
只要修改tid 就可以查看别人订单
第一笔成功的订单
其实还有更简单的方法 竟然还是用的request。。。
http://vip.youku.com/ajax/tradedetail.html?trade_id=3
漏洞证明：
上面已经证明。
修复方案：
自己只能看自己的把。要不报表别人就帮你们做了！
版权声明：转载请注明来源 齐迹@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：18
确认时间：2013-06-03 09:10
厂商回复：
修复中
最新状态：
暂无
漏洞评价：
评论
-
最近你升级了 另外优酷居然还有订单
( 普通白帽子 | Rank:254 漏洞数:17 | 当我又回首一切,这个世界会好吗?)