漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0122818
漏洞标题：携车网某处泄露大量用户信息
相关厂商：携车网
漏洞作者： 机器猫
提交时间：2015-06-26 11:01
修复时间：2015-08-10 11:02
公开时间：2015-08-10 11:02
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-26： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-08-10： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
携车网（原名纵横携车网）于2012年7月正式上线，所属公司为上海车水马龙信息技术有限公司，是一家专注于汽车售后服务领域的电子商务网站。
网站主要与品牌汽车4S店合作，向广大车主提供汽车保养维修的预约，向车主提供详细的汽车保养费用查询，并为车主的保养维修服务提供折扣。
2013年9月，携车网全新改版上线，正式从“纵横携车网”更名为“携车网"。
携车网已经在上海签约了超过190家4S店，并有326家非特约4S店，几乎覆盖了所有汽车品牌。
详细说明：
http://www.xieche.com.cn/mobilecar-mycarservice_detail-pa_id--order_id-20000
通过修改id后面的数字，就可以遍历全部的订单信息了。
漏洞证明：
修复方案：
版权声明：转载请注明来源 机器猫@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝