帮室友找对象App可致用户敏感信息泄露

漏洞概要

缺陷编号:WooYun-2015-0123432

漏洞标题:帮室友找对象App可致用户敏感信息泄露

相关厂商:心悦君兮

漏洞作者:orange

提交时间:2015-07-03 12:38

公开时间:2015-08-17 12:40

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-03: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-17: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

To单身的你我们产品的初衷是让大家能在学校找到对象。
也许你的专业异性很少,也许你不擅长搭讪,也许了解女生的唯一渠道就是各类以YP出名的软件,没关系,至少还有我们与你并肩。
如果室友是单身或者你自己也单身,无数的小伙伴都把信息发上来,说不定,在弹指间就对上眼了呢。————— 默默无闻的开发者致上

详细说明:

## 官网链接

## 测试环境

## 测试流程登录后查看 首页 最新动态处

Burp Suite端设置Intercept is on,开始抓包点击某个用户头像,进入个人资料Burp Suite端拦截了此次请求,我们右键把请求内容decode一下

分析请求URL ,可以推测 objectId 为每个用户的唯一标识,include为请求内容

继续右键把请求内容发送到 Repeater

响应内容

## 测试结果App请求响应 包含用户敏感信息

漏洞证明:

如上

修复方案:

删除无关响应内容,保护好用户隐私

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价

  1. 2010-01-01 00:00 路人毛 白帽子 | Rank:28 漏洞数:3)

    可是,你代码里没打马赛克。还是让我看到了,我现在就打电话给她,这么漂亮的妹子,不糟蹋可惜了

  2. 2010-01-01 00:00 路人毛 白帽子 | Rank:28 漏洞数:3)

    大家快来看33行。

  3. 2010-01-01 00:00 旧时人 ° 白帽子 | Rank:0 漏洞数:0)

    @路人毛 放开她禽兽,让我来

  4. 2010-01-01 00:00 圣路西法 白帽子 | Rank:0 漏洞数:0)

    username并没有屏蔽,难道这个不是电话么?嘿嘿