当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0143372

漏洞标题：图搜天下某处目录遍历导致大量内部员工姓名/电话等泄漏还有考勤信息/外出信息等

相关厂商：图搜天下（北京）科技有限公司

漏洞作者： 路人甲

提交时间：2015-09-25 12:34

修复时间：2015-11-09 13:28

公开时间：2015-11-09 13:28

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-25： 细节已通知厂商并且等待厂商处理中
2015-09-25： 厂商已经确认，细节仅向厂商公开
2015-10-05： 细节向核心白帽子及相关领域专家公开
2015-10-15： 细节向普通白帽子公开
2015-10-25： 细节向实习白帽子公开
2015-11-09： 细节向公众公开

简要描述：

大量内部员工姓名/电话等泄漏还有考勤信息/外出信息等

详细说明：

mask 区域 
1.http://**.**.**


一张图先证明是图搜天下的
http://220.181.105.91:8888/download/uploadAttachement/1414058226036/bmp_sy_test.bmp

1.jpg


http://220.181.105.91:8888/download/144/
这里全是敏感信息

2.jpg


我就截图几个证明下
http://220.181.105.91:8888/download/144/29/94277420/

3.jpg


4.jpg


http://220.181.105.91:8888/download/144/28/90767358/

5.jpg


http://220.181.105.91:8888/download/144/30/85474937/

5.jpg

漏洞证明：

141020：
1.熟悉测试案例(E:\1-Tstx\4-项目需求文档\测试用例141020\农牧版本手机端+平台端测试用例\手机端\今日待办-新增经销商 168#);
2.三元定制化测试（任晓明-字段，业务逻辑：客户端提交信息-平台人工审核-客户端再同步-再同步至平台）； 先看三元需求测试点；
 测试机：huaweC8815-A00000491D06DE-huawei8815, SamsungG3502 -359357053133428-三星G3502; 三星N719-353945053616032- 
Sysp,admin,admin// 公告、竞品信息录入两人分工；
141017: 
客服系统学习－v3.0-9999配置细则；worktile-2任务处理；第2篇感想文章；新增的电子围栏是什么
1.hp定制化稳定性测试，机HuaweiC8816—A000004F0B660A—验证他，
 1.1照片水印不全(全部)—（reply—先这样子了）
 1.2客户拜访-拜访计划列表 显示不对（原→ 现 ‘n）---（reply-此为C8816系统字库的原因，老bug已在于jira,不用管）；
2.91平台_待办业务-冒烟；
3.Fuguang-线上-客服系统：监控平台：手机状态监控：（1）第1次获取企业名失败后，就不再获取； （2）huarwei C8816 流量统计失败；--袁超；

修复方案：

设置好服务器配置

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-09-25 13:26

厂商回复：

测试环境，所有数据都是测试用数据，但是已经修复该问题。多谢！

最新状态：

暂无