漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-080083
漏洞标题：易客满某站直接输订单号可以获取订单详细信息
相关厂商：115.29.236.28
漏洞作者： 路人甲
提交时间：2014-10-21 10:43
修复时间：2014-12-05 10:44
公开时间：2014-12-05 10:44
漏洞类型：
危害等级：低
自评Rank：2
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-10-21： 细节已通知厂商并且等待厂商处理中
2014-10-23： 厂商已经确认，细节仅向厂商公开
2014-11-02： 细节向核心白帽子及相关领域专家公开
2014-11-12： 细节向普通白帽子公开
2014-11-22： 细节向实习白帽子公开
2014-12-05： 细节向公众公开
简要描述：
易客满直接输入订单号可以获取订单的详细信息
详细说明：
http://115.29.236.28/oms/order_consignee_data_collector?ordercode=APECHI1230002312
http://115.29.236.28/oms/order_consignee_data_collector?ordercode=APECHI1230002312
ordercode后的订单号随意修改
漏洞证明：
http://115.29.236.28/oms/order_consignee_data_collector?ordercode=APECHI1230002312
http://115.29.236.28/oms/order_consignee_data_collector?ordercode=APECHI1230002312
ordercode后的订单号随意修改
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：4
确认时间：2014-10-23 03:14
厂商回复：
首先感谢路人甲对易客满的关注和帮助。
易客满需要通过邮件向收件人本人索取补充的报关资料，邮件中链接的收集信息页面通过GET方式传递Tracking ID，页面上会展现收件人的英文姓名和购买商品的概要信息供确认。
这一漏洞作者指出的问题在于修改GET参数可以看到他人的姓名和商品概要，但在提交信息时后台会校验信息间的逻辑关系和正确性，信息不符会抛出异常、不会导致数据的篡改。另外，您可能已经注意到快件公司提供的轨迹跟踪功能是一个开放服务，您只要获取了面单号就可以随意查询轨迹、不需认证，这是行业里通常的做法。但我们认同用户姓名仍然属于敏感信息，即使重名重姓的人很多，姓名的汉语拼音精确定位到一个人更难。
我们非常重视这一漏洞并已经封堵，目前采用不可逆、几乎不可穷举的uuid作为参数取代tracking id，理论上只要收件人不自己泄露邮件内容给他人，不会再出现上述情况，请广大用户放心使用。
最新状态：
暂无