Bumble

Bumble 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露8
• 身份认证7
• 错误配置4
• 跨站请求伪造4
• 跨站脚本3
• 业务逻辑3
• 其他弱点3
• 密码学缺陷1
• 访问控制1
• 不安全的直接对象引用1
• 开放重定向1

主要弱点

• 信息泄露7
• 认证缺陷（通用）4
• 违反安全设计原则（按标题归类）4
• 跨站请求伪造4
• Unlabeled3
• 业务逻辑错误2
• 存储型 XSS1
• 认证尝试次数未限制1
• 反射型 XSS1
• IDOR1

常见资产

• · 34
• bma.bumble.comURL · 1
• eu1.badoo.comURL · 1

高票报告

当前状态 31 份 · 全部 36

1. 317
   Reflected XSS跨站脚本 · 2019-11-21 · 严重
   $1,000反射型 XSS
2. 278
   Exfiltrating a victim's exact location (to within 5m)信息泄露 · 2021-07-22 · 高危
   $0信息泄露
3. 258
   Bruteforce password recovery code错误配置 · 2020-01-19 · 未评级
   $0违反安全设计原则（按标题归类）
4. 109
   Leak of authorization urls leads to account takeover身份认证 · 2020-05-09 · 未评级
   $0违反安全设计原则（按标题归类）
5. 90
   Misconfigured oauth leads to Pre account takeover业务逻辑 · 2021-03-18 · 低危
   $0业务逻辑错误
6. 74
   Bumble API exposes read status of chat messages信息泄露 · 2021-03-13 · 中危
   $600信息泄露
7. 63
   [CRITICAL] Full account takeover using CSRF跨站请求伪造 · 2016-04-13 · 未评级
   $0跨站请求伪造
8. 59
   The login of Hotor Not is Vulnerable to bruteforce.身份认证 · 2020-01-24 · 高危
   $0认证尝试次数未限制
9. 57
   Race Condition on "Get free Badoo Premium" which allows to get more days of free premium for Free.业务逻辑 · 2020-12-08 · 低危
   $0Unlabeled
10. 49
    On Singing up with a Phone number , The 4 digit OTP does not expires for a long time leading to an easy attack and make a verified account easilty错误配置 · 2020-11-26 · 高危
    $0违反安全设计原则（按标题归类）
11. 40
    Possible (we need to wait for some time) takeover of subdomain badootech.badoo.com which is pointing to Medium servers业务逻辑 · 2020-12-30 · 中危
    $0业务逻辑错误
12. 35
    Change contents of the careers iframe in https://corp.badoo.com/jobs其他弱点 · 2016-07-07 · 未评级
    $0Unlabeled
13. 32
    Расшифровка всех типов шифрованных ID信息泄露 · 2018-11-01 · 中危
    $0信息泄露
14. 28
    Compromising the user ID信息泄露 · 2018-10-07 · 高危
    $0信息泄露
15. 28
    Email Spoofing错误配置 · 2017-01-24 · 低危
    $0违反安全设计原则（按标题归类）
16. 25
    Unvalidated redirect on team.badoo.com跨站脚本 · 2016-12-03 · 中危
    $140XSS（通用）
17. 24
    Identify unique user ID of all the profiles不安全的直接对象引用 · 2020-12-25 · 中危
    $0IDOR
18. 19
    Account Takeover跨站请求伪造 · 2016-03-12 · 未评级
    $0跨站请求伪造
19. 16
    crossdomain.xml too permissive on eu1.badoo.com, us1.badoo.com, etc.错误配置 · 2017-08-31 · 未评级
    $0违反安全设计原则（按标题归类）
20. 14
    SSO through odnoklassniki uses http rather than https密码学缺陷 · 2019-12-21 · 低危
    $150敏感信息明文传输
21. 12
    Индексация почты/логинов пользователей其他弱点 · 2018-06-24 · 未评级
    $140Unlabeled
22. 11
    No rate-limit in SERVER_SECURITY_CHECK身份认证 · 2016-11-10 · 低危
    $0认证缺陷（通用）
23. 10
    Leave inaccessible messaging system with a message (https://us1.badoo.com)其他弱点 · 2017-01-20 · 中危
    $0Unlabeled
24. 9
    Arbitrary modification value "session" (Cookie) in badoo.com身份认证 · 2017-06-25 · 低危
    $0Unlabeled
25. 9
    Open redirect helps to steal Facebook access_token开放重定向 · 2017-08-31 · 未评级
    $0开放重定向