意真金融可历遍全站所以贷款用户信息(身份证/照片/余额/贷款等)

漏洞概要

缺陷编号:WooYun-2015-0125966

漏洞标题:意真金融可历遍全站所以贷款用户信息(身份证/照片/余额/贷款等)

相关厂商:意真(上海)金融信息服务有限公司

漏洞作者:路人甲

提交时间:2015-07-10 18:01

公开时间:2015-07-15 18:02

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:11

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-10: 细节已通知厂商并且等待厂商处理中
2015-07-10: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-15: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

详细说明:

https://yizhenmoney.com:9003/esb/account/customer/bankInfo/list?customerId=14051005&通过修改参数可历遍

应该是姓名和银行卡号之类的http://140.207.169.83:8000/upload/attachment5/14033105/00150001/1432291395569.jpg身份证https://yizhenmoney.com:9003/esb/fortune/customer/accountinfo?customerId=14087605&

手机号和余额之类的用工具跑一下即可

漏洞证明:

如上

修复方案:

你懂

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-1518:02

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

2015-09-10:漏洞已处理

评价

  1. 2010-01-01 00:00 咸鱼翻身 白帽子 | Rank:295 漏洞数:32)

    666666