当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-040460

漏洞标题：易宝支付用户转账账单详细数据泄露

相关厂商：易宝支付

漏洞作者： X防部

提交时间：2013-10-20 22:47

修复时间：2013-12-04 22:48

公开时间：2013-12-04 22:48

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-10-20： 细节已通知厂商并且等待厂商处理中
2013-10-22： 厂商已经确认，细节仅向厂商公开
2013-11-01： 细节向核心白帽子及相关领域专家公开
2013-11-11： 细节向普通白帽子公开
2013-11-21： 细节向实习白帽子公开
2013-12-04： 细节向公众公开

简要描述：

易宝支付用户转账账单详细数据泄露

详细说明：

谷歌之：

1.png


打开一个连接：

2.png

漏洞证明：

修复方案：

版权声明：转载请注明来源 X防部@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：2

确认时间：2013-10-22 11:37

厂商回复：

感谢关注，该URL是私密的，用户将其发布在互联网，导致信息泄露，业务部门在安排整改

最新状态：

暂无

漏洞评价：

评论

  1. 2013-10-21 08:43 | X防部 ( 普通白帽子 | Rank:487 漏洞数:137 )

    @易宝支付 20rank 加礼物送上

  2. 2013-10-22 13:18 | X防部 ( 普通白帽子 | Rank:487 漏洞数:137 )

    @易宝支付 孩子那是搜索抓取的 哪里是用户发布的？大家看：http://www.google.com.hk/#newwindow=1&q=site:yeepay.com%2Fapp-airsupport&safe=strict厂商要隐瞒事实真相?自己的疏忽要赖到客户身上？呵呵面子.........@xsser @finger @疯狗

  3. 2013-10-22 13:23 | X防部 ( 普通白帽子 | Rank:487 漏洞数:137 )

    http://www.google.com.hk/#newwindow=1&q=site:yeepay.com%2Fapp-airsupport&safe=strict大家自己看是用户自己发布的，还是厂商没限制网站robots.txt 导致数据库网页泄露

  4. 2013-10-22 16:11 | 易宝支付(乌云厂商)

    @X防部 您好用语错误导致误解，望见谅。我们的用户对您来说是商户，商户在调用API时，本应该POST的，使用了GET，导致私密URL泄露。未设置robots的确实是我们的疏忽，核心支付接口都有验证reffer是否来自商户。另外感谢对易宝支付的关注，礼物稍候送上。

  5. 2013-10-26 15:58 | X防部 ( 普通白帽子 | Rank:487 漏洞数:137 )

    @易宝支付 说好的礼物呢

  6. 2013-10-29 13:14 | 易宝支付(乌云厂商)

    @X防部 少安毋躁，行政正在处理，请稍候

  7. 2013-11-04 00:15 | X防部 ( 普通白帽子 | Rank:487 漏洞数:137 )

    @易宝支付 我只想说呵呵！希望贵公司以诚信为本 做人如是 企业如是.....

  8. 2013-11-04 15:33 | 易宝支付(乌云厂商)

    @X防部 请息怒，我已催促行政采办，公司不会吝惜礼物的，烦请耐心等候。