[公开漏洞]链家旗下自如网用户/员工信息全泄露

链家旗下自如网用户/员工信息全泄露 相关厂商： ziroom.com 漏洞作者：十七世纪数学家 提交时间：2014-03-18 10:32 公开时间：2014-05-02 10:33 漏洞类型：敏感信息泄露 危害等级：高 自评Rank：12 漏洞状态： 厂商已经确认 漏洞来源：http://www.wooyun.org Tags标签： 敏感信息泄露 漏洞详情 披露状态：

2014-03-18：细节已通知厂商并且等待厂商处理中
2014-03-18：厂商已经确认，细节仅向厂商公开
2014-03-28：细节向核心白帽子及相关领域专家公开
2014-04-07：细节向普通白帽子公开
2014-04-17：细节向实习白帽子公开
2014-05-02：细节向公众公开

简要描述：

一接口无任何权限控制，可以获取任意员工和租客全部资料。
全部资料包括：
邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案..

详细说明：

存在于找回密码页面：http://www.ziroom.com/?_p=sign&_a=weakpassowrd&step=1&type=forgetpassword

接口：

http://www.ziroom.com/index.php?_p=api&_a=customer&type=search&login_name=158xxxxxxxx

可利用手机号遍历全部资料，无频度控制

返回值（测试的是一外面公开的员工手机号）：

漏洞证明：

直接打开上面url即可

修复方案：

这里只需要知道手机号是否存在，不用返回全部信息。建议对该接口做在线状态校验或权限控制。

版权声明：转载请注明来源 十七世纪数学家@乌云 漏洞回应 厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-03-18 14:11

厂商回复：

已处理此漏洞

最新状态：

暂无