漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-065067
漏洞标题：tataUFO设计不当可遍历用户信息
相关厂商：tataUFO
漏洞作者： weslie
提交时间：2014-06-19 10:59
修复时间：2014-08-03 11:00
公开时间：2014-08-03 11:00
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-19： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-03： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
tataUFO用户信息泄露
详细说明：
tataUFO是一个针对高校学生的在线交友平台。是一个属于大学生自己的异性交友平台。tataUFO的特点是操作简单，私密，服务于中国一线大学在校大学生。每晚10点推送一个妹子，一天一个等的好捉急。
来Burp截个包，
啊，看到了，pairid不就是妹子的ID号么？
修改一下，你妹，竟然出来一个男的，再改，，啊，妹子。
漏洞证明：
今天推送的妹子
改一下ID，你妹，出来个男的
注一下试试
用户的相册同样可以获取。
修复方案：
完善一下吧。
版权声明：转载请注明来源 weslie@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝