阿里巴巴速卖通曝漏洞 可能泄露百万用户信息

安全 漏洞
据国外媒体报道,阿里巴巴全球速卖通的网站上曝出安全漏洞,可能影响全球的数百万用户。

12月9日 21:00更新:

据官方反馈,阿里巴巴安全团队已在第一时间修复该漏洞。

阿里巴巴速卖通曝漏洞 可能泄露百万用户信息

据国外媒体报道,阿里巴巴全球速卖通的网站上曝出安全漏洞,可能影响全球的数百万用户。攻击者可以在不知道用户账户密码的情况下,利用该漏洞窃取到全球数百万用户的个人信息。

阿里巴巴全球速卖通是中国电子商务巨头阿里巴巴旗下的一个终端批发零售商,它为全球超过200个国家和地区的3亿用户提供价廉物美的商品。该漏洞是由以色列应用程序安全研究员Amitay Dan发现的,在我们看到这一消息时他已经把该漏洞的信息提交给了阿里巴巴全球速卖通团队。

任意用户信息获取

视频地址:https://www.youtube.com/watch?v=yrXTwjxdARk

根据安全研究员提供的概念验证视频和截屏中显示,阿里巴巴全球速卖通允许注册的用户使用下面的URL修改他们的收货地址和联系方式:

http://trade.aliexpress.com/mailingaddress/mailingAddress.htm?mailingAddressId=123456

其中的123456是注册用户的ID。

如下图,只需简单更改mailingAddressId的参数值,该注册id对应的用户收货地址、联系方式等信息就会显示出来。

阿里巴巴速卖通曝漏洞 可能泄露百万用户信息

攻击者可使用自动化的脚本抓取mailingAddress.htm页面上1到99999999999中所有可能的数字,并设为“收货地址”的参数值,即可轻松的搜集到上百万个阿里巴巴全球速卖通用户的个人信息。

责任编辑:蓝雨泪 来源: FreeBuf
相关推荐

2010-04-20 10:07:35

2015-11-06 09:59:45

2013-06-24 11:40:00

Facebook用户信息泄露

2014-11-27 13:28:55

信息泄露淘宝乌云

2014-12-12 09:43:13

阿里巴巴安全漏洞信息泄露

2015-04-23 15:30:08

2014-12-03 14:15:27

2014-07-10 10:19:47

Adobe

2015-03-14 10:30:58

谷歌漏洞信息泄露

2015-11-05 11:29:05

2010-06-28 10:43:47

2013-08-22 09:41:52

阿里巴巴去IOE王坚

2023-01-31 17:07:06

2022-08-12 16:14:49

网络安全数据泄露泄露

2015-04-22 13:57:17

社保系统安全漏洞信息泄露

2013-12-02 14:00:08

微信腾讯

2009-02-27 10:46:32

DBA笔试题阿里巴巴

2014-05-29 09:13:15

2023-05-30 20:19:20

2015-04-22 13:00:06

点赞
收藏

51CTO技术栈公众号