漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015673
漏洞标题：7天酒店查看任意用户订单
相关厂商：7天连锁酒店
漏洞作者： blue
提交时间：2012-12-05 22:56
修复时间：2013-01-19 22:57
公开时间：2013-01-19 22:57
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-12-05： 细节已通知厂商并且等待厂商处理中
2012-12-06： 厂商已经确认，细节仅向厂商公开
2012-12-16： 细节向核心白帽子及相关领域专家公开
2012-12-26： 细节向普通白帽子公开
2013-01-05： 细节向实习白帽子公开
2013-01-19： 细节向公众公开
简要描述：
如标题所见，晚上想上7天评价下我们老家的7天，查看自己订单的时候就想是否能看到别人的订单...
详细说明：
问题存在于7天手机站，http://wap.7daysinn.cn，输入：
看起来是用订单id和酒店id来联合查询订单信息的，写个程序，先遍历几百家酒店id,再每家遍历订单id，就能查看所有的订单了，估计有人会感兴趣。
漏洞证明：
1.主站是没有这个问题的
2.来到wap站，登录自己的账号，打开自己任意订单的详情页，更改链接里的id和hotelid(怎么来的就得遍历了或者其它了)，其它字段都不用改，然后...看图吧...
修复方案：
做权限判断
版权声明：转载请注明来源 blue@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-12-06 08:24
厂商回复：
我们会尽快修复 感谢blue 欢迎直接联系我们。
最新状态：
2012-12-06：已经修复。