漏洞详情

披露状态:

2014-09-28: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-12: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

因为我老婆买了D8 要我查下什么时候发货 出于习惯 就发现了hTC 订单号造成了个人敏感信息泄漏

详细说明:

首先要登录 eshop.htc.com 的帐号

QQ截图20140928140634.png


登录后 有个订单链接 (出于个人信息安全保护,所以下面都是选择的别人的订单号)
https://eshop.htc.com/webapp/wcs/stores/servlet/OrderDetail?catalogId=10001&langId=-7&orderId=1755842&storeId=10001&orderStatusCode=C
orderId 就是订单号

2.png


下面 我们再换一个订单号试试 orderId=1748521

3.png

漏洞证明:

首先要登录 eshop.htc.com 的帐号

QQ截图20140928140634.png


登录后 有个订单链接 (出于个人信息安全保护,所以下面都是选择的别人的订单号)
https://eshop.htc.com/webapp/wcs/stores/servlet/OrderDetail?catalogId=10001&langId=-7&orderId=1755842&storeId=10001&orderStatusCode=C
orderId 就是订单号

2.png


下面 我们再换一个订单号试试 orderId=1748521

3.png

修复方案:

你们比我懂

标签: none

评论已关闭