漏洞详情

披露状态:

2014-11-09: 细节已通知厂商并且等待厂商处理中
2014-11-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

中华联合保险高危越权之查看任意隐私保单(全部信息泄露)

详细说明:

中华联合保险高危越权之查看任意隐私保单 # 全部信息泄露
www.cic.cn

漏洞证明:

三处越权,不同保单查看,遍历任意ID即可获得所有保单信息
高危隐私泄权,紧急修复!!!

http://query.cic.cn/autoclaim/control/policysearch?actionType=load&policyId=122236542
http://query.cic.cn/autoclaim/control/case?actionType=loadClaim&caseId=191338891
http://query.cic.cn/autoclaim/control/policysearch?actionType=loadEndo&endoId=11851171


7.png


8.png


9.png


修复方案:

紧急修复

标签: none

评论已关闭