近日，一位安全研究人员发现麦当劳在印度的外卖App McDelivery 存在多个严重漏洞，允许用户以极低的价格下单，甚至可以窃取他人的订单和个人信息。这些漏洞已经被报告给麦当劳，并在90天内得到了修复。

根据研究人员的报告，McDelivery App 存在多个漏洞，包括：

价格操纵漏洞：用户可以通过修改购物车中的价格参数，以极低的价格下单。例如，只需支付0.01美元就可以下单。

订单劫持漏洞：黑客可以通过修改订单的地址ID或用户ID，将他人的订单劫持到自己的地址。

实时跟踪漏洞：黑客可以通过修改API请求，实时跟踪送货司机的位置和个人信息。

敏感数据泄露漏洞：用户可以访问他人的订单详情、下载发票，甚至可以提交对他人订单的反馈。

司机信息泄露漏洞：黑客可以访问送货司机的个人信息，包括姓名、电话号码、电子邮件、头像和车牌号码。

管理员数据访问漏洞：用户可以访问管理员的关键绩效指标（KPI）报告，而无需授权。

研究人员使用了Broken Object Level Authorization（BOLA）和Mass Assignment漏洞等技术，系统地揭露了McDelivery App的弱点。尽管麦当劳印度使用了Angular框架和基本的身份验证措施，如JWT令牌，但系统仍然存在用户访问敏感数据的限制问题。

其中一个值得注意的漏洞是价格操纵漏洞。黑客可以通过修改购物车中的价格参数，以极低的价格下单，绕过服务器端的验证。另一个严重的漏洞是订单劫持漏洞，黑客可以通过修改订单的地址ID或用户ID，将他人的订单劫持到自己的地址。

研究人员的报告揭示了严重的隐私风险，包括送货司机的个人信息和实时位置的泄露。此外，任何订单的发票都可以通过修改API请求中的订单ID来访问。

研究人员将一份24页的报告提交给了McDelivery的漏洞赏金计划，报告中详细描述了这些漏洞。麦当劳印度的回应值得称赞，所有漏洞都在90天内得到了修复。尽管回应速度相对较慢，但公司确保每个报告的问题都得到了彻底的修复。研究人员因其努力而获得了漏洞赏金。

麦当劳印度值得赞扬的是，他们拥有一个漏洞赏金计划，鼓励道德黑客报告漏洞。值得注意的是，麦当劳美国没有官方的漏洞赏金计划，这一事实引起了安全专业人员的批评。

McDelivery在Google Play和Apple App Store上拥有超过1000万次下载，是麦当劳在印度运营的关键组成部分。虽然这些漏洞已经被修复，但这个案例凸显了持续的安全评估的必要性，特别是对于处理敏感客户数据和金融交易的系统，公司必须优先考虑用户的安全和隐私。

资讯来源：cybersecuritynews

转载请注明出处和本文链接

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课