漏洞概要 关注数(24) 关注此漏洞
缺陷编号：
漏洞标题：
瑞欧网越权可泄露21W+用户信息(姓名/电话/地址)
相关厂商：
漏洞作者：
提交时间：
2015-11-02 15:10
修复时间：
2015-12-17 15:12
公开时间：
2015-12-17 15:12
漏洞类型：
设计缺陷/逻辑错误
危害等级：
高
自评Rank：
15
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系
[email protected]
Tags标签：
>
漏洞详情
披露状态：
2015-11-02： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
逻辑错误，设计缺陷 导致21W+用户信息(姓名/电话/地址)泄露
详细说明：
网站：www.ruiou.com
为了测试我注册了一个账号 然后添加收货地址 然后点击修改或者删除 进行抓包
测试 10w 修改ID为100000 ：
修改ID值等于100000，进行提交，即可在查看到他人收货信息，见下图：
测试 21w 用户量 修改ID为210000 ：
修改ID值等于210000，进行提交，即可在查看到他人收货信息，见下图：
漏洞证明：
如上
修复方案：
对用户权限进行验证，希望厂商能够重视客户信息。
版权声明：转载请注明来源 Shrek@乌云
>
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝