漏洞概要
关注数(12)
关注此漏洞
漏洞标题: ECSHOP手机订单程序漏洞能获取大量用户信息
提交时间: 2014-01-18 20:11
公开时间: 2014-04-18 20:11
漏洞类型: 重要资料/文档外泄
危害等级: 中
自评Rank: 6
漏洞状态:
厂商已经确认
漏洞详情
披露状态:
2014-01-18: 细节已通知厂商并且等待厂商处理中
2014-01-20: 厂商已经确认,细节仅向厂商公开
2014-01-23: 细节向第三方安全合作伙伴开放(绿盟科技、唐朝安全巡航、无声信息)
2014-03-16: 细节向核心白帽子及相关领域专家公开
2014-03-26: 细节向普通白帽子公开
2014-04-05: 细节向实习白帽子公开
2014-04-18: 细节向公众公开
简要描述:
ECSHOP手机订单获取有漏洞,导致客户订单资料外泄
详细说明:
没有对访问这个页面的用户进行过滤,直接可以输出所有查询出来的值
甚至可以对订单进行操作
漏洞证明:
去百度 搜索powered by ecshop
所有开通手机网站的ecshop商城 域名后加mobile/user.php?act=order_list
即可访问所有匿名购买者的订单,并可对其订单进行操作
修复方案:
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:8
确认时间:2014-01-20 11:18
厂商回复:
非常感谢您为shopex信息安全做的贡献
我们将尽快修复
非常感谢
最新状态:
暂无
漏洞评价:
对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
评价