当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0133827

漏洞标题:华尔街见闻网的APP“华尔街见闻”的信息收集账户信息泄露

相关厂商:华尔街见闻

漏洞作者: Tiny严

提交时间:2015-08-13 17:59

修复时间:2015-09-27 18:00

公开时间:2015-09-27 18:00

漏洞类型:敏感信息泄露

危害等级:低

自评Rank:1

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-13: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

华尔街见闻网的APP“华尔街见闻”使用email来收集用户反馈,向用户推送消息,这个email账户的用户名、密码内置在该应用中,导致信息泄露。

详细说明:

这个应用的信息如下:

1.PNG


我们发现这个应用有发送邮件的行为,并且从调用序列上发现这个应用内置了一个邮箱的用户名和密码:

2.PNG

漏洞证明:

使用这个用户名、密码可以成功登陆邮箱、qq等

3.PNG


4.PNG


修复方案:

通过内置email账户的方式来接受用户反馈、推送消息的确可以避免架设服务的麻烦,但是这个账户实在是难以保护。如果出了问题,要么把账号封了,影响应用的功能;要么重新设计应用,而重新实现、更新应用又需要耗费人力,财力。其实有更多选择,比如选择第三方的信鸽服务等。

版权声明:转载请注明来源 Tiny严@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论