当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0145562

漏洞标题:指南猫某逻辑漏洞可查看所有用户订单信息

相关厂商:zhinanmao.com

漏洞作者: Mr.x

提交时间:2015-10-09 18:33

修复时间:2015-11-23 20:30

公开时间:2015-11-23 20:30

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-09: 细节已通知厂商并且等待厂商处理中
2015-10-09: 厂商已经确认,细节仅向厂商公开
2015-10-19: 细节向核心白帽子及相关领域专家公开
2015-10-29: 细节向普通白帽子公开
2015-11-08: 细节向实习白帽子公开
2015-11-23: 细节向公众公开

简要描述:

权限没校验好哟!

详细说明:

android应用在登陆状态下用户查看订单详细信息功能的接口order_id参数未做订单身份校验,攻击者遍历order_id即可越权查看所有的用户订单,导致用户订单信息可批量泄漏。
涉漏洞URL:http://m.zhinanmao.com/tripapi/order?order_id=2532
漏洞参数:order_id

漏洞证明:

ko

修复方案:

整修方案:
1.应用的接口在服务端后台对订单信息的增、删、改、查都要先校验订单用户的身份权限。

版权声明:转载请注明来源 Mr.x@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2015-10-09 20:28

厂商回复:

感谢 @Mr.x 对指南猫的支持

最新状态:

暂无


漏洞评价:

评价