📌 📄 内容摘要:
枫枫 北 (@user841) 在 发现学校学工系统严重bug佬友们来分析一下 中发帖
本⼈在使⽤学校系统过程中，⽆意发现⼀个严重的安全漏洞。通过简单修改 URL 参数，可以未经授权访问其他⽤户的账户信息。具体表现为在访问 URL https://xgphone.xxxx.edu.cn/api/outUsernexus/xxx/xxxxxx?account=[学⼯号]
时，只需更改 “account” 参数后的学⼯号值，系统即允许访问对应账号的信息，且⽆需进⾏任何额外的身份验证。具体 URL 我就不公布了
技术细节
问题根源：系统似乎缺少对⽤户身份的⼆次验证机制，仅依靠 URL 参数进⾏⽤户识别
潜在原因：
服务端缺少会话验证
授权检查不完善
缺乏访问控制列表（ACL）检查
安全影响
此漏洞可能导致以下安全⻛险：
信息泄露：未授权⽤户可获取他⼈个⼈信息
隐私侵犯：敏感个⼈数据可能被泄露
账户接管：可能导致他⼈账户被未授权访问
数据完整性问题：系统允许修改操作...
────────── 链接信息 ──────────
🔗 论坛链接: linux.do
📎 访问地址: https://linux.do/t/topic/530918/1
─────────────────────────────
📢 来源：LINUX DO
