某公共平台个人信息查看处存在全局越权修改

越权漏洞

高危

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

注册家政账户后，登录：

http://xxx.xxx.xx.com/er.app.xxxx/apps.html

这个是账户A：ceshi   www的个人信息 id=275

这个是账户B：ceshi123   天天的个人信息 id=274

然后在账户A下越权修改B账户的个人信息：

然后到B账户下查看个人信息：

通过遍历id参数全局越权修改所有已注册用户的个人信息，这样就可以定向的进行诈骗或者是其他的信息贩卖等。

做好权限的控制，建议添加token。