漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0118732
漏洞标题：国美在线多接口问题可泄露用户姓名、地址、电话等(json劫持实现)
相关厂商：国美控股集团
漏洞作者： 路人甲
提交时间：2015-06-08 14:23
修复时间：2015-06-13 14:24
公开时间：2015-06-13 14:24
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：12
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-08： 细节已通知厂商并且等待厂商处理中
2015-06-13： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
...
详细说明：
多个jsonp接口无安全措施可泄露用户敏感信息
获取购物车商品接口 http://g.gome.com.cn/ec/homeus/support/add.jsp?callback=jQuery17&method=homeus.checkAllItem¶ms=%7B%22time%22%3A1433603338755%7D
获取当前登陆国美的用户接口 http://g.gome.com.cn/ec/homeus/navigation/gome/index/loginStyle.jsp?callback=logintop
获取用户待支付数、待评价数、优惠券数等信息的接口 http://g.gome.com.cn/ec/homeus/n/topMygome.jsp?callback=topMygome
获取用户地址簿的接口 http://member.gome.com.cn/myaccount/address/getSecondaryAddress?timer=1433606988720&callback=ckdata
可能还有其他涉及用户敏感信息的jsonp接口我没发现，自查吧
漏洞证明：
在其他网站引入jquery后在console输入如下内容即可验证是否存在
下面是证明截图
修复方案：
加token或验证refer
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-13 14:24
厂商回复：
漏洞Rank：4 (WooYun评价)
最新状态：
暂无