当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0131638

漏洞标题：哇喔科技(WAAWO)某处漏洞泄露所有用户数据+客户订单（可远程操控上千设备）

相关厂商：哇喔科技

漏洞作者： Expl0r3r

提交时间：2015-08-04 19:03

修复时间：2015-09-18 19:04

公开时间：2015-09-18 19:04

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-04： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-09-18： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

WAAWO哇喔儿童智能防护手表
实时定位、语音对讲、家庭群聊、体感娱乐、爱心提醒、成长旅程、上课免打扰等功能。

详细说明：

http://www.waawo.cn/media-news.php?id=37
官网存在注入漏洞
这安全做的我也是醉了：

t0198726ee4c4e8c547.png


大量客户订单泄露：

2.png


3.png


用户数据：

4.png


5.png


6.png


应该是所有客户订单和用户数据
测试：

7.png


8.png


9.png

漏洞证明：

t0198726ee4c4e8c547.png


大量客户订单泄露：

2.png


3.png


用户数据：

4.png


5.png


6.png


应该是所有客户订单和用户数据
测试：

7.png


8.png


9.png


修复方案：

过滤

版权声明：转载请注明来源 Expl0r3r@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)