漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0142761
漏洞标题：顺丰旗下“有物”微信购物平台漏洞之查看任意订单
相关厂商：顺丰速运
漏洞作者： 专业挖洞二十年
提交时间：2015-09-22 14:13
修复时间：2015-09-22 15:28
公开时间：2015-09-22 15:28
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-22： 细节已通知厂商并且等待厂商处理中
2015-09-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
-公司成立于2014年7月；
-2014年10月获得顺丰速运集团1000万元天使轮投资；
-2014年12月上线“有物”APP；
-2015年4月与顺丰官方微信、顺丰支付宝服务窗合作推出全新有物平台。
本来还有个支付逻辑漏洞，导致0.1元买东西，还没等我发到乌云，厂商好像自行修复了，那就来一个查看任意订单漏洞。听客服说每天都有五百多订单呢，订单内容包含名字电话收货地址金额顺丰运单号等等等等，据说拿到这些资料的话可以打顺丰客服电话修改收货地址哦，，有心人拿到这些东西可以自由发挥，，，，
详细说明：
点击一个订单长按，拷贝订单地址，可以看见http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000076***的一个链接，这个链接不能直接在浏览器里打开，要在微信里打开。修改后面的数字，发送到微信的聊天框里，打开，可以看到别人的订单信息，慢慢的遍历，拿到刚刚发货的信息，可以找顺丰客服修改地址的哦。哈哈，就不测试了。没有继续往下挖
漏洞证明：
http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000076200
http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000075500
http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000075600
http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000076000
http://api.daidongxi.com/daidongxi/V2/share/view/orderInfo/00000075800
修复方案：
我不懂。。
版权声明：转载请注明来源 专业挖洞二十年@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-09-22 15:28
厂商回复：
有物与顺丰是合作伙伴关系，已经把漏洞转发给有物相关负责人，感谢对顺丰安全的关注，谢谢。
最新状态：
暂无