课程格子APP设计缺陷导致任意用户信息泄露APP设计缺陷，接口访问权限没有进行验证。
APP在输入自己学校的学号密码，会将课程导入。同时，可以查看上同一堂课的同学信息。
APP客户端抓到以下URL
http://kechenggezi.com/users/7063139(用户ID)/details.json?token=自己的会话令牌
访问URL：
信息有学生的姓名，学校，学院，专业，照片
照片没有限制，可以下载。
更改用户的ID，发现不仅可以访问本校，本班，其他学校的学生信息也可以访问。
用户没有设置访问权限，遍历用户ID，将用户的姓名，学校，学院，专业，照片遍历下来，建立学生信息库 ，致使大量用户信息泄露。
漏洞修复方法：接口设置访问权限。