[公开漏洞]中国某地区移动泄露大量用户订单信息（Google+未授权访问） - 漏洞预警

中国某地区移动泄露大量用户订单信息（Google+未授权访问）相关厂商：中国移动漏洞作者：小龙提交时间：2014-04-29 16:44 公开时间：2014-06-13 16:45 漏洞类型：未授权访问/权限绕过危害等级：低自评Rank：5 漏洞状态：已交由第三方厂商(cncert国家互联网应急中心)处理漏洞来源：http://www.wooyun.org Tags标签：管理后台对外后台被猜解漏洞详情披露状态：

2014-04-29：细节已通知厂商并且等待厂商处理中
2014-05-04：厂商已经确认，细节仅向厂商公开
2014-05-14：细节向核心白帽子及相关领域专家公开
2014-05-24：细节向普通白帽子公开
2014-06-03：细节向实习白帽子公开
2014-06-13：细节向公众公开

简要描述：

哦

详细说明：

http://www.zj.10086.cn/shop/shop/user/orderQuery/searchOrderById.do?orderId=ff80808144dc40110144df36c5440d96

http://www.zj.10086.cn/shop/shop/user/orderQuery/searchOrderById.do?orderId=ff80808144dc40110144e14c9d2711e2

http://www.zj.10086.cn/shop/shop/user/orderQuery/searchOrderById.do?orderId=ff80808144dc40110144dfd7516d10bf

漏洞证明：

 您的订单状态： 配送完成 您的支付状态： 已支付

 订单明细

订单编号： 1420140320003477订单类型： 商城订单下单时间：2014-03-20 19:18:32

订单金额： 0.0元运费： 0元发票抬头： 标准USIM卡

 收货人信息

姓 名：张沿鹏

所属地区：台州

地 址：浙江省杭州市萧山区浦阳镇十三房天达鞋业

邮 编：311200

手机号码： 18858665156

固定电话：

 配送与支付方式

配送方式： 送货上门

支付方式：在线支付（已支付）

物流信息：顺丰

 商品信息

 商品价格备注

4G备卡活动(新)商品名称：4G卡

商品类型：号段卡



单价：0.0元

数量：1

总价：0.0元用户名：张沿鹏

返充号码：18858665156

用户地址：浙江省杭州市西湖区黄姑山横路

归属地市名称：台州

 

商品金额：0.0元+运费：0元 = 0.0元应付总金额：0.0元

修复方案：

找谷歌

危害等级：中

漏洞Rank：10

确认时间：2014-05-04 11:13

厂商回复：

作为安全风险事件已经及时转由CNCERT向中国移动集团公司通报。rank 10