饿了么办公系统敏感信息泄露(可登录OA等)

看到这个漏洞发现的：WooYun: 饿了么某系统疑似可以重新安装得知饿了么的oa服务器地址：112.65.166.115，端口80.用的是泛微的OA系统。存在一处敏感信息泄露漏洞，可导致所有员工姓名、邮箱、loginid（oa登录名）等信息泄露。漏洞url：http://112.65.166.115/messager/users.dataOA登录界面：

访问该url，结果如下：

该文件的内容经过了base64编码，解码后发现是员工相关数据。有2万多员工。。。

使用123456枚举了一下，就发现一个员工的密码是123456，登录下：

额，你们可千万别对这位同事做啥惩罚呀，要不可就是我的罪过了。。。

参考详细说明

将该文件剪切至网站目录之外。

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-07-2909:34

厂商回复：

经确认，该漏洞存在，我们会通知泛微进行修复。感谢你们对饿了么的关注！

最新状态：

暂无

1. 2010-01-01 00:00 PgHook 白帽子 | Rank:689 漏洞数:69)

   屌

2. 2010-01-01 00:00 凯茵 白帽子 | Rank:20 漏洞数:1)

   短信验证码怎么绕过？怎么登陆上去的？

3. 2010-01-01 00:00 有归于无 白帽子 | Rank:49 漏洞数:5)

   我们会通知泛微进行修复
   haha

4. 2010-01-01 00:00 jye33 白帽子 | Rank:0 漏洞数:0)

   @凯茵 不是登陆的用户账号不需要短信验证