漏洞详情

披露状态:

2014-02-12: 细节已通知厂商并且等待厂商处理中
2014-02-13: 厂商已经确认,细节仅向厂商公开
2014-02-23: 细节向核心白帽子及相关领域专家公开
2014-03-05: 细节向普通白帽子公开
2014-03-15: 细节向实习白帽子公开
2014-03-29: 细节向公众公开

简要描述:

说说@人泄露昵称

详细说明:

A用户通过腾讯手机客户端发表说说@人 的时候 B用户可以看到@人在A用户当中的昵称。

漏洞证明:

如图所示

QQ截图20140212125144.png

网页端显示:

QQ截图20140212125247.png





同时该漏洞泄露的昵称可以通过3Gqq空间 的页面看到

例如A用户通过腾讯手机客户端发表说说“@人” 的时候 B用户可以看到“@人”这个“人”用户 在A用户当中的昵称。



该漏洞可以查看到用户@好友时候好友的昵称,属于用户个人隐私资料泄露。

故RANK评判为5

修复方案:

修改代码 PC端的动态更新如果采用的是3GQQ空间的接口 那就直接把3GQQ空间的代码进行改动

版权声明:转载请注明来源 安然意境@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-02-13 12:02

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价: