您要来份IDOR漏洞吗？麦当劳6400万份求职申请遭泄露
作者：thewhippersnapper4
来源：r/netsec
原文链接：ian.sh
漏洞概述
安全研究人员发现麦当劳求职平台存在IDOR（Insecure Direct Object Reference）漏洞，导致超过6400万份求职申请信息可被未授权访问。该漏洞允许攻击者通过修改URL参数直接访问其他用户的敏感求职数据。
技术细节
漏洞类型
- IDOR漏洞：不安全的直接对象引用
- 影响范围：全球麦当劳求职平台
- 数据量：64,000,000+ 条记录
漏洞利用方式
- 通过修改HTTP请求中的用户ID参数
- 无需身份验证即可访问其他用户完整档案
- 可批量枚举用户数据
泄露信息包含
- 个人身份信息（PII）
- 联系方式
- 工作经历
- 教育背景
技术影响
- 违反GDPR等数据保护法规
- 可能导致大规模身份盗窃
- 企业声誉严重受损
修复建议
- 实施适当的访问控制检查
- 使用不可预测的标识符
- 部署API安全网关
- 定期进行安全审计