前程无忧越权访问个人简历（简单测试上万份简历可查看）

漏洞概要 关注数(21) 关注此漏洞

缺陷编号： WooYun-2016-192676

漏洞标题： 前程无忧越权访问个人简历（简单测试上万份简历可查看）

相关厂商： 前程无忧(51job)

漏洞作者： mmc

提交时间： 2016-04-07 12:02

公开时间： 2016-05-22 14:00

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 敏感接口缺乏校验 逻辑错误

5人收藏

漏洞详情

披露状态：

2016-04-07： 细节已通知厂商并且等待厂商处理中
2016-04-07： 厂商已经确认，细节仅向厂商公开
2016-04-17： 细节向核心白帽子及相关领域专家公开
2016-04-27： 细节向普通白帽子公开
2016-05-07： 细节向实习白帽子公开
2016-05-22： 细节向公众公开

简要描述：

越权查看简历，可分类查看当天更新的简历信息。可查看各种类别的，全公开的，对前程无忧公开的，完全不公开的都可查看。

详细说明：

http://my.51job.com/cv/CResume/CV_PResume.php?ReSumeID=343783840
 就上面这个链接的问题。变换后面的id 号即可查看，只变换后4位就可以查看当天刚更新的简历信息
 下面直接上图了

修复方案：

版权声明：转载请注明来源 mmc@乌云

漏洞回应