中国联通香港的在线客服系统存在水平越权漏洞

据部分中国联通香港（CUHK）的用户反馈，目前CUHK在线客服系统存在隐私泄漏风险： 只要你现在或曾经是CUHK用户（即便该号码已经携转至其他运营商/下台），进入在线客服系统输入你的号码之后，目前无需任何鉴权就可以查看所有的你之前使用该号码与客服的聊天记录。

也就是说，如果你曾经透过在线客服查阅账户信息并透过该窗口向客服告知你的姓名、证件号码的话，任何人知道你的号码都可以轻松看到你曾经输入给客服的姓名和证件号码！即便你每次都会点击「结束服务」按钮！

漏洞复现

1、进入客服在线聊天平台https://chat.cuniq.com/pc/?encrypt=9FZshTGSTHrM73MrySd5rk5H8jGtxI%2FQY7Lvw3%2FkNfzYGy98ovfXY9x3imGEjP8hVU6oo8oGv4lfVaCUKKvrMg%3D%3D

2、输入任意账号，只要之前有聊天记录都行。3、成功越权，查看信息。

安全建议

1、CUHK 应尽快修复该漏洞，增加鉴权（如短信验证码、实名校验）；

2、用户应避免将敏感信息（如身份证号、姓名）直接提供给未验证身份的在线客服通道；

3、如有曾在在线客服系统中输入过敏感信息，应考虑更换相关证件号绑定的服务账号密码。