当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-014524

漏洞标题:淘宝网敏感信息泄露

相关厂商:淘宝网

漏洞作者: 又想

提交时间:2012-11-09 01:11

修复时间:2012-11-14 01:12

公开时间:2012-11-14 01:12

漏洞类型:敏感信息泄露

危害等级:中

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-11-09: 细节已通知厂商并且等待厂商处理中
2012-11-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

淘宝网新的个人主页加入了新的模板 提供了分享相册心得日志等个人空间设置 但其中一项把关不严 造成其他人敏感信息泄露

详细说明:

淘宝网新的个人主页加入了新的模板 提供了分享相册心得日志等个人空间设置 但其中一项把关不严 造成其他人敏感信息泄露

漏洞证明:

1、登陆自己的淘宝账户
2、随意浏览商品,因为和泻露隐私有关,所以浏览成人用品(成人用品的购买评价都是匿名的。为了体现漏洞的程度,选择女用工具。),只要打开页面就好,不需要其他操作。
3、把2打开的女用工具的页面关掉,点击页面上方的“我的淘宝”,如图。

0001.jpg


4、在“最近浏览过的”下边,排第一的位置,就出现了刚才浏览过的女用工具的产品。

0002.jpg


5、点击下方的“看新分享”。然后就出现了对于这个产品的评价,而这些评价,都是买过的人进行的评价。但在产品界面,都是匿名的评价。但在这里,却是实名的。

0003.jpg


6、你还可以点击用户名进入该用户的个人页面,查看TA的资料,照片,日志,曾经买过的东西等等TA的信息。
7、这个问题的应用的话,第一位的是骚扰,就比如上边的图3。我可以每个人都发送消息,问他们用的怎么样等等的,她们肯定好奇别人怎么会知道的,对她们的心理有影响,毕竟买这些东西,别人来询问等等的。这些信息是个人的隐私。被骚扰的发生自然对淘宝的保密措施有一定的影响。第二个应用,对特定人群进行广告的定位推送。比如给那些买男用品的人发小*的广告,等等。

修复方案:

我不知道 不会。你们看着办吧。

版权声明:转载请注明来源 又想@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-11-14 01:12

厂商回复:

最新状态:

暂无