[典型漏洞分享]业务逻辑导致的隐私泄露2

视频广场分享在删除分享或删除设备时未立即停止断流,可导致用户隐私泄漏【高】

问题描述:

         用户在删除分享或删除设备时,查看分享的视频的用户如果不刷新页面,那么视频流不会停止,即还可以继续观看该被取消分享或删除的视频。

测试步骤:

1、  使用账户A为设备A创建视频广场分享。注:设备A是账户A的设备。

2、  使用账户B登录并观看设备A的分享视频。

3、  此时账户A删除设备A的视频广场分享或者解除账户A和设备A的绑定关系,账户B仍然可以在当前的分享页面上观看设备A的视频。

4、  账户B重新刷新视频广场分享页面,此刻分享才会断开。

问题扩展:

         用户把视频分享到视频广场代表用户此时不会顾及隐私问题,而当用户取消视频广场分享时,应该立马切换保护用户隐私的状态,而未及时断流的漏洞可导致用户隐私泄漏。

解决建议:

1、删除分享或删除设备时强行掐断视频流。

原文地址:https://www.cnblogs.com/fishou/p/4195017.html