漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0121738
漏洞标题：北京背篓科技订单内容未授权访问，导致30多W订单泄露
相关厂商：蜜淘网
漏洞作者： 这只猪
提交时间：2015-07-09 11:35
修复时间：2015-08-23 19:08
公开时间：2015-08-23 19:08
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：4
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-09： 细节已通知厂商并且等待厂商处理中
2015-07-09： 厂商已经确认，细节仅向厂商公开
2015-07-19： 细节向核心白帽子及相关领域专家公开
2015-07-29： 细节向普通白帽子公开
2015-08-08： 细节向实习白帽子公开
2015-08-23： 细节向公众公开
简要描述：
订单信息未授权访问，导致数十万用户资料泄露
详细说明：
蜜淘是一家海淘品牌限时特卖的网站，前身是CN海淘，由谢文斌等人创建于2013年10月，蜜淘首创了海淘品牌单品团、品类团和品牌团的限时特卖模式。
蜜淘主推海外品牌限时特卖模式，通过海外品牌厂家、正规代理商、国内专柜等可信的进货渠道采购，并在采购部专门设置自身的质检员。同时也将与国内转运公司、海外仓库、保税区等深入合作，采取海外直邮、保税区清关、海外转运、国内进口直发等模式来方便用户购买海外正品。
3发展历程
编辑
2013年10月，北京背篓科技有限公司成立。
2014年3月，蜜淘前身CN海淘正式发布iPhone和Android客户端。
2014年4月，奶粉节单天销量突破100万元。
2014年6月，上线海淘专场特卖。
2014年7月，CN海淘正式更名为蜜淘。
2014年7月，获经纬创投千万美元A轮融资。
漏洞证明：
半个月前在蜜淘海购上买了眼药水，半个月后收到眼药水，发现个订单上有了http://pipeline.beilou.com/order/print/351477.do 然后手贱试了一下
就不上图了，自己复现下
修复方案：
控制访问
版权声明：转载请注明来源 这只猪@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-07-09 19:06
厂商回复：
非常感谢提供该漏洞，已进行修复
最新状态：
暂无