乐心吧 关注:11,142贴子:20,727
  • 5回复贴,共1

乐心健康APP严重逻辑漏洞与隐私相关bug

只看楼主收藏回复

乐心健康APP设置的登录密码没有用!
【经历详情】
今天想测试一下我们的每天步数是在本地存储的还是在服务器云端存储的,用同一个账号登录不同手机测试,为了登陆方便就设置了一下登陆密码,结果在另外一部手机上登录提示“请使用手机短信验证码登录”,以为是为了安全第一次在一个新手机上登陆只能用验证码,后来就改验证码登录了,发现这边也能看到每天达标的运动步数,也就验证了步数是同步到了云端的,大家可以放心了,乐心那边后台应该也是能看到。
然后再次测试在同一部手机上用验证码登录过一次看能不能再直接密码登陆,发现还是不行提示相同的“请使用手机短信验证码登录”,然后选择发送验证码登录发现居然接收的是一样的验证码你敢相信?
因为乐心健康APP账号只能一个手机上登录,不能2个或多个手机同时登录相同账号在线,这边登录,前面一个手机账号就被自动下线了。所以我这边操作“退出账号”,然后在之前的一部手机上登录,发现账号密码的方式还是登录不了,只能验证码登录,然后第3次获取验证码,发现收到的还是与之前2次一样的验证码,我的天!乐心这么大的公司居然出现这种问题!然后我使用这个验证码却提示“验证码错误”,检查多次发现没错!因为一直是这个验证码,然后再次获取新的验证码发现提示“今日验证码已经达到上线!请尝试其它登录方式”(上限的限也写错成“线”了),到这里我就完全无语了!验证码登录一天只有3次机会,账号密码方式也不让登录,我还怎么用其它方式登录,我要是今天步数没有在APP上面刷新同步那不全完了,直接被断签!
【总结】
1.每一次的验证码都是一样的,这对于用户来说是有安全隐患的,不是真正的随机验证码,不能保护账户登录安全以及财产与隐私安全
2.既然可以设置登录密码,又不能使用登录密码登录,那这样做的意义何在?
3. 验证码登录一天只有3次机会,账号密码方式也不让登录,我还怎么用其它方式登录,当天步数没有在APP上面刷新同步就over了,直接被断签!#乐心手环打卡90天##乐心手环打卡0元购#


IP属地:湖北来自iPhone客户端1楼2020-06-05 12:37回复
    我也是参与了这一次乐心手环5S打卡90天每天10000步返购机款的活动亲身的体验!


    IP属地:湖北来自iPhone客户端2楼2020-06-05 12:49
    回复
      二比一个


      IP属地:北京来自Android客户端3楼2020-06-22 23:52
      回复
        哦老天


        IP属地:江苏来自iPhone客户端4楼2020-06-23 06:57
        回复
          三分钟有效,应该是机制规定时间范围内不更新,隔个十分钟再试试


          IP属地:河南来自Android客户端6楼2020-06-29 11:06
          回复
            bug测试员?


            IP属地:广东来自Android客户端7楼2020-09-17 23:09
            回复