漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-074043
漏洞标题：口袋购物订单信息泄露
相关厂商：koudai.com
漏洞作者： 流浪的漏洞
提交时间：2014-08-27 17:32
修复时间：2014-10-11 17:34
公开时间：2014-10-11 17:34
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-27： 细节已通知厂商并且等待厂商处理中
2014-08-27： 厂商已经确认，细节仅向厂商公开
2014-09-06： 细节向核心白帽子及相关领域专家公开
2014-09-16： 细节向普通白帽子公开
2014-09-26： 细节向实习白帽子公开
2014-10-11： 细节向公众公开
简要描述：
订单信息泄露
详细说明：
通过dwz.cn，利用接口批量检索五位字符例如“lhNra”将koudai.com订单保留。
http://dwz.cn/lhNra 可以转换为：
http://wd.koudai.com/vshop/1/H5/kd.html?s=bsmym9GnsN5NhBlDLFkQTg%3D%3D
能够直接读取订单信息和收货人信息
漏洞证明：
见上
修复方案：
koudai为了便捷牺牲信息安全的方案不可取，虽然密码已死，但不代表密码可以不用。
百度出卖了口袋，口袋躺枪，主要是用户太愚蠢。
版权声明：转载请注明来源 流浪的漏洞@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-08-27 17:57
厂商回复：
感谢反馈，会尽快修复
最新状态：
暂无