漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0170263
漏洞标题：海尔集团某APP奇葩逻辑,任意订单查询/姓名/地址/电话/银行卡等
相关厂商：海尔集团
漏洞作者： 逆流冰河
提交时间：2016-01-15 23:06
修复时间：2016-02-27 11:49
公开时间：2016-02-27 11:49
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：12
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-15： 细节已通知厂商并且等待厂商处理中
2016-01-18： 厂商已经确认，细节仅向厂商公开
2016-01-28： 细节向核心白帽子及相关领域专家公开
2016-02-07： 细节向普通白帽子公开
2016-02-17： 细节向实习白帽子公开
2016-02-27： 细节向公众公开
简要描述：
日日顺乐家是海尔日日顺开发的家庭一站式购物平台，销售家具家居、家电、户外用品、儿童玩具、母婴用品等商品。商城于2010年9月在青岛上线开始测试运行
详细说明：
1,url:
http://testapi.rrslj.com/appapi/index.php?act=member_order&op=order_detail&member_id=13951038888&order_id=1
这个order_id可以遍历所有订单,订单1
2,看看第1313笔,对了,和url中的电话号码没有关系的,
3,就这样吧,一个一个遍历,能看到所有的订单和人员详细信息
漏洞证明：
Fix
修复方案：
Fix
版权声明：转载请注明来源 逆流冰河@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2016-01-18 09:31
厂商回复：
感谢白帽子的测试与提醒，已安排人员进行处理
最新状态：
暂无