当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0146381

漏洞标题：成人用品网站趣网某漏洞可泄露130W用户订单(包含姓名\电话\地址以及买了什么东西等)

相关厂商：qu.cn

漏洞作者： 路人甲

提交时间：2015-10-13 12:32

修复时间：2015-10-18 12:34

公开时间：2015-10-18 12:34

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-13： 细节已通知厂商并且等待厂商处理中
2015-10-18： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

成人用品网站趣网某漏洞可泄露130W用户订单(包含姓名\电话\地址以及买了什么东西等)

详细说明：

成人网站趣网某漏洞泄露130W用户订单

注册-->登录-->访问如下URL--->遍历ID
http://www.qu.cn/app/android/100/user_order.php?act=detail&id=1301432
http://www.qu.cn/app/android/100/user_order.php?act=detail&id=1101432
http://www.qu.cn/app/android/100/user_order.php?act=detail&id=111432


1.JPG


2.JPG


6.JPG


3.JPG


4.JPG


5.JPG

漏洞证明：

修复方案：

验证用户的权限

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-10-18 12:34

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2015-10-13 12:33 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 哈！躁起来！)

    买了让人脸红心跳又羞羞的东西

  2. 2015-10-13 13:32 | 月神 ( 路人 | Rank:0 漏洞数:1 | 专注游戏攻防、游戏安全很多年~~~)

    包含姓名\电话\地址以及买了什么东西等

  3. 2015-10-13 13:45 | Mark0smith ( 实习白帽子 | Rank:32 漏洞数:11 )

    这么6

  4. 2015-10-13 13:48 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @浩天 那是什么东西，你看到了什么？

  5. 2015-10-13 14:44 | 小龙 ( 普通白帽子 | Rank:1244 漏洞数:319 | 乌云有着这么一群人，在乌云学技术，去某数...)

    哔了狗了，咋还那么多洞

  6. 2015-10-13 14:59 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    @小龙 你提交的sql注入依旧存在。只是吧报错信息去掉了而已！这个厂商的程序员真实日了狗了。

  7. 2015-10-13 15:40 | 小龙 ( 普通白帽子 | Rank:1244 漏洞数:319 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @hkAssassin 我叶良辰不允许你这样说他，我不想动用乌云的势力(ง •̀_•́)ง

  8. 2015-10-13 16:17 | 浮世浮城 ( 普通白帽子 | Rank:316 漏洞数:63 | 我存于这俗世烟火的浮世，我爱这时光倒影的...)

    @小龙 你知道他是谁么 他是断臂小学赵日天 是你叶良辰可以随便动的人么

  9. 2015-10-13 16:18 | 浮世浮城 ( 普通白帽子 | Rank:316 漏洞数:63 | 我存于这俗世烟火的浮世，我爱这时光倒影的...)

    @小龙 断罪 断罪 一激动

  10. 2015-10-13 17:30 | Xmyth_Xi2oMin9 ( 普通白帽子 | Rank:249 漏洞数:45 | 最可怕的不是鬼怪 而是人心)

    @浮世浮城 输入法暴露属性 = =

  11. 2015-10-13 18:25 | 专业种田 认证白帽子 ( 核心白帽子 | Rank:1425 漏洞数:184 | 没有最专业的农民,只有更努力地耕耘..........)

    难得买了一次，你们就发出来 ，不太好吧。

  12. 2015-10-13 19:10 | 丨丶钟情 ( 路人 | Rank:2 漏洞数:1 | 丨丶钟情)

    先来一发

  13. 2015-10-13 19:48 | 行侠 ( 路人 | Rank:10 漏洞数:6 | 我是来找女朋友的！因为白帽子不善言谈！)

    来一打女孩子的订单可否？

  14. 2015-10-13 19:49 | 行侠 ( 路人 | Rank:10 漏洞数:6 | 我是来找女朋友的！因为白帽子不善言谈！)

    来一打女孩子的订单可否？

  15. 2015-10-13 19:53 | Martial ( 普通白帽子 | Rank:1105 漏洞数:177 )

    默默的关注