漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0151133
漏洞标题：瑞欧网越权可泄露21W+用户信息(姓名/电话/地址)
相关厂商：瑞欧网
漏洞作者： Shrek
提交时间：2015-11-02 15:10
修复时间：2015-12-17 15:12
公开时间：2015-12-17 15:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org
Tags标签： 无
漏洞详情
披露状态：
2015-11-02： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
逻辑错误，设计缺陷 导致21W+用户信息(姓名/电话/地址)泄露
详细说明：
网站：www.ruiou.com
为了测试我注册了一个账号 然后添加收货地址 然后点击修改或者删除 进行抓包
测试 10w 修改ID为100000 ：
修改ID值等于100000，进行提交，即可在查看到他人收货信息，见下图：
测试 21w 用户量 修改ID为210000 ：
修改ID值等于210000，进行提交，即可在查看到他人收货信息，见下图：
漏洞证明：
如上
修复方案：
对用户权限进行验证，希望厂商能够重视客户信息。
版权声明：转载请注明来源 Shrek@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝