漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0110451
漏洞标题：南宁某人才网未判断用户身份可匿名查看所有人简历
相关厂商：南宁人才网
漏洞作者： ArvinburLee
提交时间：2015-05-06 16:02
修复时间：2015-06-23 17:16
公开时间：2015-06-23 17:16
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-06： 细节已通知厂商并且等待厂商处理中
2015-05-09： 厂商已经确认，细节仅向厂商公开
2015-05-19： 细节向核心白帽子及相关领域专家公开
2015-05-29： 细节向普通白帽子公开
2015-06-08： 细节向实习白帽子公开
2015-06-23： 细节向公众公开
简要描述：
南宁某人才网未判断用户身份可匿名查看所有人的简历
详细说明：
通过直接访问以下URL地址可直接查看个人简历：
http://www.nnrc.com.cn/resume/resume-show.php?id=60178
且通过更改参数id值，可查看其他人的简历，通过这样的漏洞，可通过编写程序批量抓取其他所有人的简历，严重泄露的他人的隐私，对其他人的个人信息泄露影响严重。
经检查发现，该漏洞已存在较长时间，并已经暴露出2万多份个人简历。
希望尽快商家能尽快修复，以免此漏洞产生更大的影响。
漏洞证明：
通过一个测试小程序抓取结果如下：
已发现能通过修改参数id值能获取到2万3千多份简历数据，影响较多人的信息，希望尽快商家能尽快修复，以免此漏洞产生更大的影响。
修复方案：
修复办法：
增加对登陆者的session值的判断，对没有正确登陆的，没有权限登陆的用户进行屏蔽或跳转处理。
版权声明：转载请注明来源 ArvinburLee@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2015-05-09 17:14
厂商回复：
CNVD确认所述情况，已经转由CNCERT下发给广西分中心，由其后续协调网站管理单位处置。
最新状态：
暂无