6 月 9 日消息，研究人员发现本田汽车母公司本田集团电商网站存在一项 API 漏洞，可能让黑客得以从中获取客户及经销商的订单、电子邮件、财务等资料信息。
▲ 图源 Eaton Zveare
研究人员 Eaton Zveare 表示，自己使用网站的密码重置功能，便直接重置了网站管理员账号，接着只需要修改网页 URL，就能够看到本田旗下所有经销商的资料，包括读取客户邮件资讯，乃至直接修改网站及产品信息。
▲ 图源 Eaton Zveare
他同时还在 Angular-based 经销商网站的管理员页面中，找到了一个“伪造身份”漏洞，使其得以冒充本田管理员，获取到了所有经销商网站资料，包括客户关系架构图、订阅网站服务的经销商数量、企业总收入金额等信息。
▲ 图源 Eaton Zveare
Zveare 表示，自己通过本田网站的漏洞，得到了从 2016 年 8 月到今年 3 月高达 2.1 万个客户资料、1 万余个客户邮件地址、1000 多笔经销商邮件地址、2000 多个经销商网站、3,600 笔经销商账号的 Paypal 付款地址以及内部财务报表等。
IT之家注意到，截至发稿，本田集团已经修复了这些漏洞，但目前没有做出任何官方性的回应。
