漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-042104
漏洞标题：歪歪某接口设计不当导致个人信息泄露
相关厂商：广州多玩
漏洞作者： 我疯癫
提交时间：2013-11-06 08:57
修复时间：2013-11-11 08:58
公开时间：2013-11-11 08:58
漏洞类型：敏感信息泄露
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-06： 细节已通知厂商并且等待厂商处理中
2013-11-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
任意登录小号，get一个url，可得到某些帐号的真实姓名和手机号码，姓名手机都是认证，并作为密保的一部分。
详细说明：
访问 http://live.yy.com/index.php?m=Live&type=beauty 随便点进主播，关注主播之后
再
GET http://live.yy.com/index.php?m=Activity&do=queryAidsByUser&from=act
可得到关注主播的手机号码和姓名
{"yy_id":"150***468","mobile":"186*****118","real_name":"王**"}
{"yy_id":"13*****33","mobile":"159*****365","real_name":"陈*"｝
根据歪歪号可根据之前YY号查询通行证的资料得到其通行证和保密邮箱，然后走申诉，然后得到MM主播的号就比较危险了（半夜YY中：）
漏洞证明：
可得到关注主播的手机号码和姓名
{"yy_id":"150***468","mobile":"186*****118","real_name":"王**"}
{"yy_id":"13*****33","mobile":"159*****365","real_name":"陈*"｝
修复方案：
json不该返回的数据过滤，不知后台是不是spring注解
（可以跪求实习offer吗）
版权声明：转载请注明来源 我疯癫@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-11 08:58
厂商回复：
最新状态：
暂无