垃圾淘宝网严重漏洞,请帮忙反馈,曝光

[BlueNube]

不用登录淘宝帐号, 从Google搜你的淘宝ID, 进入网址 rate.taobao.com/user-rate-XXXXXXXXXXXXXXXX

点"半年以前"就能看到你所有所有所有的购买记录,即便是匿名购买. 我确定以前是没有这种情况的.

淘宝的缺点比比皆是,但这次漏洞太操蛋了.淘宝网,你不给我一个说法,我就给你一个说法!

[jiangle]

楼主购买娃娃，被人肉了？

[luztak]

WooYun.Org

[zxy]

@jiangle 我也这样想的

[sumanx]

我擦,还真是.
这隐私泄露得....

[Evance]

rate.taobao.com/user-rate-XXXXXXXXXXXXXXXX

XXX肿么来的？

[plprapper]

@Evance 自己遍历呗 用数字 这个貌似乌云上早就有了 已被忽略之～～～

[BlueNube]

@jiangle 那你最好别让他人知道你的淘宝id, 但你在网上几乎是实名的, 别人想搞到你的id很容易.

举个例子,twitter上原来有个叫jasonXXX的名人,自称在淘宝买了盗版的mobileme帐号,虽然他的淘宝id和常用id不同,但依然可以确认出他的淘宝id. 所以说这次漏洞,除非你不与人来往,否则涉及的是所有人的隐私

[sarices]

貌似没有这个问题

[romoo]

很抱歉，您查看的宝贝不存在，可能已下架或者被转移。

看不到了？

[Kenny]

试了下是真的。

[wsjun]

真的

[Kael]

早就有了 几年前我就用这个方法看某MM的购买记录
还可以直接Google“XXX购买心得评价”
匿名购买是不显示的，至少我看不到自己匿名购买的记录

[liuhang0077]

这得多大仇啊。。

[kamal]

http://www.wooyun.org/bugs/wooyun-2012-07195
厂商回应：
危害等级：无影响厂商忽略

[Evance]

报告一下：此Bug已紧急修复；

[panda]

- -不明白，搜索用户名有千千万万个结果。加上淘宝二字就能搜索到自己的账号信息，但不明白进入网址 rate.taobao.com/user-rate-XXXXXXXXXXXXXXXX是什么意思？

[sobigfish]

呃，之前试过，反正看不到自己匿名的0,0

[vbvb]

其实只要搜索 购买心得评价 就能搜到很多非匿名评价的内容
固定ID+购买心得评价 就能搜到这个人非匿名的评价
对付淘宝，只要匿名购买，匿名评论，或者干脆就不评价就可以解决。

另外搜 评论心得体会经验 能看到京东的购买记录
不知道京东有匿名这一说不。