当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-025806

漏洞标题:app泄露敏感信息之五-去哪儿某应用泄露用户明文密码

相关厂商:去哪儿

漏洞作者: hqdvista

提交时间:2013-06-13 10:35

修复时间:2013-09-11 10:36

公开时间:2013-09-11 10:36

漏洞类型:用户敏感数据泄漏

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-13: 细节已通知厂商并且等待厂商处理中
2013-06-13: 厂商已经确认,细节仅向厂商公开
2013-06-16: 细节向第三方安全合作伙伴开放
2013-08-07: 细节向核心白帽子及相关领域专家公开
2013-08-17: 细节向普通白帽子公开
2013-08-27: 细节向实习白帽子公开
2013-09-11: 细节向公众公开

简要描述:

去哪儿旗下某应用泄露用户明文密码

详细说明:

检测发现com.qunar.dangdi(去哪儿当地)存在明文密码泄露。

Screen Shot 2013-06-13 at 3.43.31 AM.png


人工验证:

Screen Shot 2013-06-13 at 3.49.16 AM.png


可以看到密码写到了shared_prefs/account.xml的<string name="pw">项中

漏洞证明:

同上

修复方案:

加密或者存token

版权声明:转载请注明来源 hqdvista@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2013-06-13 10:47

厂商回复:

已内部发现并已在最新版本中修复了,请下载当前最新版本验证下。为感谢你对qunar的关注和支持,稍后寄出小礼物.

最新状态:

暂无