漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0155849
漏洞标题：鲤鱼理财app存在用户信息泄露（手机号，银行卡号，用户名，身份证号码信息）
相关厂商：鲤鱼理财
漏洞作者： oneplusone
提交时间：2015-11-25 18:14
修复时间：2016-01-11 15:32
公开时间：2016-01-11 15:32
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
徒弟：师傅，理财产品哪里好？
师傅：理财就上鲤鱼理财，值得你的信赖！
徒弟：鲤鱼理财，您的财富管家，ps,你不在的时候也会帮你理财哦
来个邀请码吧！囧o(╯□╰)o
求秒过！
详细说明：
鲤鱼理财APP 各大应用商城都有，请自行下载使用；
信息泄露在修改银行卡功能博客，修改用户id 可直接查看身份证号 手机号 银行卡号 姓名等等
无图无真相 上图
第一步 修改银行卡，首先你得有绑定的银行卡才可以哦，为此还浪费了一张卡；
进入修改页面 进入抓包
抓包 发现他们竟然是http通信。。。
查看信息
修改id查看， 不好意思已打码
漏洞证明：
修改id 继续查看
修复方案：
你们比我更专业
版权声明：转载请注明来源 oneplusone@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝