链家旗下自如网用户/员工信息全泄露 - 网站安全

一接口无任何权限控制，可以获取任意员工和租客全部资料。

全部资料包括：

邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案..

 

存在于找回密码页面：http://www.ziroom.com/?_p=sign&_a=weakpassowrd&step=1&type=forgetpassword

 

接口：

 

http://www.ziroom.com/index.php?_p=api&_a=customer&type=search&login_name=158xxxxxxxx

 

可利用手机号遍历全部资料，无频度控制

 

返回值（测试的是一外面公开的员工手机号）：

 

直接打开上面url即可

修复方案：

这里只需要知道手机号是否存在，不用返回全部信息。建议对该接口做在线状态校验或权限控制

查看更多关于链家旗下自如网用户/员工信息全泄露 - 网站安全的详细内容...