阿里云盘现灾难级 bug，特定操作下，可获取到别的用户的相册

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

请不要把任何和邀请码有关的内容发到 NAS 节点。

邀请码相关的内容请使用 /go/in 节点。

如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。

这是一个创建于 390 天前的主题，其中的信息可能已经有所发展或是发生改变。

目前使用 115 ，最近刚好萌生了自建 nas 的想法……

bug

相册

阿里云盘

81 条回复 2024-09-16 18:08:13 +08:00

dcsuibian

2024-09-14 20:22:12 +08:00

建议贴个来源

NoOneNoBody

2024-09-14 20:24:36 +08:00

消息来源价值一千万啊

ruaRobot

2024-09-14 20:27:53 +08:00

https://imgur.com/koxppGE.mp4

ruaRobot

2024-09-14 20:28:56 +08:00

@mc2tap #3 [什么？阿里云盘里的照片、视频全泄露？] https://www.bilibili.com/video/BV16ctKeyEBa/?share_source=copy_web&vd_source=0d2508100a5e7479dc66513be581abce

sn0wdr1am

2024-09-14 20:30:12 +08:00

太离谱了

povsister

2024-09-14 20:30:38 +08:00

草台班子案例+1
猜猜阿里是会当缩头乌龟还是站出来挨打

bytesfold

2024-09-14 20:31:45 +08:00 via iPhone

阿里的东西不奇怪

estk

2024-09-14 20:37:47 +08:00 via iPhone

还好用的是 Google Photos 备份

MossFox

2024-09-14 20:51:16 +08:00

补图，长图避免刷屏就不用内嵌图像格式了：
https://imgur.com/a/1U0h67H

storyxc

2024-09-14 21:09:58 +08:00

这就是我不用网盘的原因

Hozoy

2024-09-14 21:13:24 +08:00

官方群已经炸了，还没有正式员工回应，现在阿里云盘对我来说就是个人数据 duplicati 加密备份的容器，加上看剧的地方，永远不怕泄露

securityCoding

2024-09-14 21:15:21 +08:00 via Android

群晖保平安

linzh

2024-09-14 21:28:46 +08:00

这真的很草台班子，降本增效是吧，隔壁新加坡阿里云还没修完呢

windmoonwind

2024-09-14 21:29:24 +08:00

无法复现...我用的 PC 端，相册里根本没有建文件夹的功能啊...

ruaRobot

2024-09-14 21:31:06 +08:00

@windmoonwind #14 早就修复了，要是到现在还没修复那还得了，新建文件夹就是新建相册

windmoonwind

2024-09-14 21:32:12 +08:00

@windmoonwind 看了视频教程，原来说的是建相册(本质上是建标签)。
已经无法复现，客户端并未更新，看来已经在服务端修复了。

wdlth

2024-09-14 22:30:53 +08:00

快进到：
今天的故障就是因为你的问题，没有任何借口。有些问题早该踩坑填坑，却因为你个人的疏忽被延迟到现在。我们已经对你进行了内部通报，明确要对系统和业务的稳定性负全责。接下来，你要像某某一样死磕自己的赛道，复盘、发力、沉淀，倒逼自己吃透打法，打通链路，下次落地不要让大家看到你分心。

imldy

2024-09-14 22:48:32 +08:00

这软件没有任何测试？操

Xu3Xan89YsA7oP64

2024-09-14 22:59:39 +08:00

原地倒闭

RoccoShi

2024-09-14 23:03:55 +08:00

阿里云这半年出多少问题了..

ruaRobot

2024-09-14 23:08:11 +08:00

@RoccoShi #20 这么严重的事故是第一次吧

liuhaibin

2024-09-14 23:09:44 +08:00

每天用 tb ，alipay app 几十次养小鸡之类的，发现 bug 是常事。老实说，ali 的任何产品 bug 比 tencent 可多了。

看 url 就知道，一大堆垃圾信息，不简介规范，拼音英文混着来。qq 的东西清爽好看多了。

Jhma

2024-09-14 23:19:40 +08:00

早就说了，不要把照片等信息存入公有云包括国外云中，泄露和审查都会有

lance6716

2024-09-14 23:22:26 +08:00 via Android

毫不意外

ruaRobot

2024-09-14 23:25:31 +08:00

@imldy #18 测试用例没覆盖到

catazshadow

2024-09-14 23:35:40 +08:00

阿里这种成天就想着“快速上线”好骗钱的风气，正常的

cvbnt

2024-09-14 23:50:23 +08:00 via Android

给你优惠券就当无事发生

imldy

2024-09-15 01:48:30 +08:00 via Android

@mc2tap 可这 bug 也太简单了，创建一个空相册筛选一下都没测……

R4rvZ6agNVWr56V0

2024-09-15 01:55:08 +08:00

幸亏不用它，2333 。这种低级 Bug 凸显了管理问题。

mi6

2024-09-15 04:05:41 +08:00

@liuhaibin 还真是，之前我就发现可以钻空子登别人的支付宝，当然我没登过，后来过了好久官方才修复，就离谱……不过后来我还是登了一个别人的支付宝，因为我申请的新手机号他没解绑。哪像微信，别说别人登不上，自己登都费劲……

lerry

2024-09-15 05:02:45 +08:00 via iPhone

QQ 传文件时代，我曾经发现过离线文件会收到别人的同名文件。
自己创建了好多新建文件夹.rar 之类的，发给另外一个号，下载了好多别人的文件。。

laydown

2024-09-15 05:12:53 +08:00

这是知道的，不知道的呢。不是阴谋论，只要东西上网，就要有会被泄漏的认知。国内外都不靠谱的，太隐私的东西，就不要弄上网。

putaosi

2024-09-15 05:33:53 +08:00 via iPhone

真有保存自已的照片到国产云盘的？

zololiu

2024-09-15 06:10:26 +08:00 via iPhone

内部测试用例并没有这项测试类型，现在加上去了

benkyo

2024-09-15 06:23:42 +08:00

太扯了

mythabc

2024-09-15 07:59:28 +08:00

@putaosi 一堆诱导性设计，小白用户稍不留神整个手机、电脑的东西都传上去了

Kidlet7

2024-09-15 08:14:49 +08:00 via iPhone

幸好我一直不共享相册

Rrrrrr

2024-09-15 08:15:56 +08:00

早上在 B 站看到了，尼玛的。我怀疑删除的都没帮我删除。赔钱

zcq100

2024-09-15 08:50:13 +08:00

它新加坡机房起火烧了一天。
我臭打游戏的，steamdeck 云存档都挂了呢。
`
[2024-09-15 08:19:00] [AppID 2072450] Download Failure for file Sega/LikeADragon8/Steam/158110189/save015/save015_icon0.dds
[2024-09-15 08:19:00] [AppID 2072450] HTTP download for file 'Sega/LikeADragon8/Steam/158110189/save017/data.sav' from host 'steamcloud-sgp.oss-accelerate.aliyuncs.com' - Returned error 'Internal Server Error' (500).
[2024-09-15 08:19:00] [AppID 2072450] Download Failure for file Sega/LikeADragon8/Steam/158110189/save017/data.sav
[2024-09-15 08:19:00] [AppID 2072450] Download complete, result Failure
`

utopio

2024-09-15 09:15:26 +08:00 via iPhone

离谱啊。

Yzh361

2024-09-15 10:45:48 +08:00 via Android

多亏用的是 Google photos

lkk

2024-09-15 11:00:28 +08:00

一直用 Google photos

akiyamamio

2024-09-15 11:18:58 +08:00

@RoccoShi #20 阿里云和阿里云盘傻傻分不清

ruaRobot

2024-09-15 11:32:56 +08:00

@imldy #28 我的猜想，可能创建了一个和别的用户同名的相册，会出现这个 bug ，sql 少了个 where

twofox

2024-09-15 11:56:21 +08:00

牛逼，还好我不用云盘存放这些私密相册

rulagiti

2024-09-15 12:07:14 +08:00

吓的我赶紧把所有网盘的照片都删了

eastcukt

2024-09-15 12:48:39 +08:00 via Android

这个 bug 是真的太离谱了，已经申请会员退款了

lesismal

2024-09-15 12:59:13 +08:00

这 bug 今天上热搜了

amundsen

2024-09-15 13:14:24 +08:00

还好从以前开始就没用过网盘备份，太恐怖了

daaaxuan

2024-09-15 13:29:03 +08:00 via iPhone

我不明白的是，理论上讲阿里的程序员技术应该是没有问题的，并且测试人员应该也是很专业的，为什么会出现这种低级别的 BUG 却没有被发现。

opentrade

2024-09-15 13:36:57 +08:00

现在我们相信大厂的技术水平了

jqtmviyu

2024-09-15 13:46:54 +08:00

复盘道歉什么时候出来, 不会装死吧.

williamtech

2024-09-15 14:14:57 +08:00

这还大厂呢？这种 bug 也太幼稚、灾难了

lry

2024-09-15 14:25:33 +08:00

外包写的代码？

ee666

2024-09-15 14:30:29 +08:00

都是群晖加密备份到阿里云盘，别人看不了

Anivial

2024-09-15 14:44:51 +08:00

我很纳闷，难道就是为了所谓的速度，连最基本的“权限--资源”管理都没有吗？

thetbw

2024-09-15 14:59:59 +08:00

只有客户端有 bug ，所以各个客户端 api 接口不一样，就算接口不一样，接口逻辑层也不一样，不懂

zachary99

2024-09-15 15:01:28 +08:00

吓得我赶紧去删了备份的照片

CodeAllen

2024-09-15 15:13:46 +08:00

我的主力还是百度云盘，阿里云盘没传啥东西。
看来网盘上传得全搞加密包了，我现在部分数据是加密包，加密包备份就不慌，随机超长密码谁愿意爆破谁跑去。

baolei666

2024-09-15 15:37:08 +08:00

@povsister 缩头乌龟了

BaiLinfeng

2024-09-15 17:14:13 +08:00

裁员裁到大动脉了？

skull

2024-09-15 17:19:55 +08:00 via iPhone

说明用户的数据就是逻辑隔离而已，一条语句写错就全看到了

darkengine

2024-09-15 17:20:33 +08:00

啊？这么简单的路径没测出来？

CNM47589

2024-09-15 17:31:15 +08:00 via Android

还真有人用国产网盘存自己照片，国产网盘不是只能用来放盗版美剧吗？

luyan

2024-09-15 17:32:08 +08:00

狗阿里网盘不能碰了...

2024-09-15 17:43:22 +08:00

@CNM47589 jav 经过编码也是可以的

pcdd

2024-09-15 18:00:49 +08:00

@baolei666 姜萍事件冷处理

PeneceaQwQ

2024-09-15 18:03:41 +08:00

@zcq100 真的离谱，不理解怎么会起火，pikpak 也受影响

maizero

2024-09-15 18:16:04 +08:00

击穿了我对国内网盘的信任，我错了……我真的没想到居然有如此离谱的低级安全问题。

ChanceLi

2024-09-15 19:15:05 +08:00

阿里但凡负责一点，就应该通知所有用户这次泄露事件，让用户做好应对措施，显然他们并没有把用户的利益放在第一位，还是在玩公关，想保住云盘业务。

jameszhangqk1

2024-09-15 19:28:26 +08:00

草台班子系列 +1

sayoll

2024-09-15 19:29:27 +08:00

国内厂商不奇怪，服务条款所谓的隐私，可能就是隐私 2 字了。

wtdd

2024-09-15 20:38:31 +08:00

百度，夸克，189 ，小米，华为，OV……等等其他国内网盘难道会有所不同么

DandelionFlowers

2024-09-15 20:39:22 +08:00

现在连网盘都打不开了

登录啥也看不见

modayuanshuai

2024-09-15 20:56:18 +08:00

@eastcukt 老哥，如何申请退款呢

wolonggl

2024-09-15 21:35:40 +08:00

系统有 bug 很正常的

shouh

2024-09-15 23:25:41 +08:00

@Hozoy 正解

Jiajin

2024-09-15 23:28:54 +08:00

iCloud 出这种级别的 bug ，我可能会很难受，自建过 nas ，nextcloud ，兜兜转转还是回归 iCloud

panlatent

2024-09-16 00:47:44 +08:00 via Android

一开始他们说阿里云百度云我一笑置之，但他们说 iCloud .......... 因为我真的在用

unidotnet

2024-09-16 09:50:00 +08:00

我猜是新建相册后有什么特殊字符导致 SQL 注入，出现了 or 什么的情况，然后照片和对象存储不一样不需要 token 验证就能直接访问，于是。。。反正我全靠 iCloud/Google Photos

Flyfish233

2024-09-16 18:08:13 +08:00 via Android

不用任何云，包括 iCloud 和 Google Photos ，OneDrive 和 Google Drive 只传送能公开分享链接的内容，Android 上，一个 FolderSync 就能解决全部问题