京东物流 查询接口暴露客户收货地址 ?

[Plzd0n0tcry]

京东物流 : http://www.jdwl.com
问题接口 : http://www.jdwl.com/order/getWaybillNodeTrack
问题复现 : 查询单号后 , 选中查看轨迹 , 函数 productMap("JDV0000*") , 能获取到客户收货地址的 GPS ; 经该 GPS 能够定位到小区楼号 ¿¿¿
细节描述 : 虽然查询需要账户登陆 , 但是查询的物流单号可与账户订单无关

改进 : 后续能改成查询非本账户子物流时 , 不返回客户精准收货地址?

[jingxyy]

厉害了

[RealGM]

很有道理！

[LemonFlower]

涉及隐私信息应该先通知京东，security.jd.com

[Plzd0n0tcry]

@LemonFlower 感谢，已提交漏洞。