云校信息泄露漏洞(已修复)

云校信息泄露漏洞(已修复)

需要先登录
网页版云校发送信息功能查找同学或老师时,会访问/BaseInfos/RefStudentlist/LoadData获取学生或教师信息,但是返回的json值中包含了学生或教师的所有信息,包括身份证号,学生证号,生日,住址,手机,座机……
也就是说我们可以直接看到了
 
 

POST:

qc.ExtendedProperties.startTime=xxxx&qc.Name=&pageNo=2&pageSize=1&t=0&extDic%5B0%5D.key=text&extDic%5B0%5D.value=hello&ax=1
qu.name改成用url编码后的同学姓名就行了。

 

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据