漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023253
漏洞标题：韵达在线订单系统泄漏淘宝订单详情和收发件人信息
相关厂商：韵达快递
漏洞作者： libmaru
提交时间：2013-05-08 09:16
修复时间：2013-06-22 09:17
公开时间：2013-06-22 09:17
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-06-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
韵达在线订单系统 某些页面没有对外部访问限制权限
导致来自淘宝的订单详情和收发件人信息泄漏
详细说明：
输入任意使用了韵达快递的 淘宝物流编号 或 韵达运单号
均可以查询到 淘宝订单内容、下单时间、收发件人详细地址和手机
快递公司的数据库对外只保留三个月左右的时间，超出查询时间范围的运单不在泄漏范围内
由于运单号和淘宝物流编号都可以枚举，该漏洞可造成用户的淘宝消费记录和个人信息大量泄漏
漏洞证明：
修复方案：
限制外部访问，避免直接泄漏
对内也要明确 Role/Permission，否则也可能从内部发生敏感信息泄漏
版权声明：转载请注明来源 libmaru@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：5 (WooYun评价)