Coinbase

Coinbase 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 身份认证18
• 信息泄露14
• 其他弱点13
• 错误配置9
• 跨站请求伪造7
• 业务逻辑6
• 密码学缺陷4
• 开放重定向3
• 跨站脚本2
• 访问控制1
• 注入与走私1
• 内存破坏1
• 拒绝服务1

主要弱点

• 认证缺陷（通用）15
• Unlabeled13
• 信息泄露9
• 跨站请求伪造7
• 违反安全设计原则（按标题归类）6
• 密码学问题（通用）4
• 业务逻辑错误3
• 违反安全设计原则（按标题归类）3
• 点击劫持3
• Unlabeled2

常见资产

• · 72
• *.coinbase.comURL · 6
• com.coinbase.androidGOOGLE_PLAY_APP_ID · 1
• api.coinbase.comURL · 1

高票报告

当前状态 80 份 · 全部 80

1. 7
   ByPassing the email Validation Email on Sign up process in mobile apps业务逻辑 · 2016-11-29 · 未评级
   $100违反安全设计原则（按标题归类）
2. 7
   Leaking CSRF token over HTTP resulting in CSRF protection bypass跨站请求伪造 · 2014-10-16 · 未评级
   $1,000跨站请求伪造
3. 6
   Information disclosure of user by email using buy widget信息泄露 · 2016-11-17 · 中危
   $0信息泄露
4. 6
   coinbase Email leak while sending and requesting身份认证 · 2016-10-12 · 低危
   $0认证缺陷（通用）
5. 6
   Content Injection error page错误配置 · 2017-01-06 · 未评级
   $0违反安全设计原则（按标题归类）
6. 6
   User email enumuration using Gmail信息泄露 · 2015-12-23 · 未评级
   $0信息泄露
7. 5
   window.opener is leaking to external domains upon redirect on Safari开放重定向 · 2016-08-23 · 未评级
   $0违反安全设计原则（按标题归类）
8. 5
   Create Multiple Account Using Similar X-CSRF token信息泄露 · 2016-08-10 · 未评级
   $0违反安全设计原则（按标题归类）
9. 5
   No authorization required in Windows phone web-application身份认证 · 2016-07-01 · 未评级
   $0认证缺陷（通用）
10. 5
    OAUTH pemission set as true= lead to authorize malicious application身份认证 · 2015-12-01 · 未评级
    $100认证缺陷（通用）
11. 5
    Two-factor authentication (via SMS)身份认证 · 2015-06-17 · 未评级
    $0认证缺陷（通用）
12. 5
    New Device confirmation tokens are not properly validated.身份认证 · 2015-05-26 · 未评级
    $100认证缺陷（通用）
13. 5
    2FA settings allowed to be changed with no delay/freeze on funds身份认证 · 2014-08-25 · 未评级
    $0违反安全设计原则（按标题归类）
14. 4
    An adversary can overwhelm the resources by automating Forgot password/Sign Up requests身份认证 · 2016-07-24 · 未评级
    $0认证缺陷（通用）
15. 4
    The 'Create a New Account' action is vulnerable to CSRF跨站请求伪造 · 2016-07-24 · 未评级
    $0跨站请求伪造
16. 4
    open authentication bug身份认证 · 2015-03-12 · 未评级
    $0认证缺陷（通用）
17. 4
    Simultaneous Session Logon : Improper Session Management身份认证 · 2014-08-26 · 未评级
    $0认证缺陷（通用）
18. 4
    User Enumeration, Information Disclosure and Lack of Rate Limitation on API信息泄露 · 2014-04-01 · 未评级
    $0违反安全设计原则（按标题归类）
19. 3
    Open redirect on sign in开放重定向 · 2017-06-24 · 低危
    $0开放重定向
20. 3
    Sending payments via QR code does not require confirmation身份认证 · 2016-04-23 · 未评级
    $1,000认证缺陷（通用）
21. 3
    XXE in OAuth2 Applications gallery profile App logo身份认证 · 2015-12-16 · 未评级
    $0Unlabeled
22. 3
    Sandboxed iframes don't show confirmation screen错误配置 · 2015-04-04 · 未评级
    $0点击劫持
23. 3
    New Device Confirmation, token is valid until not used.密码学缺陷 · 2015-05-25 · 未评级
    $0密码学问题（通用）
24. 3
    Invoice Details activate JS that filled in跨站脚本 · 2015-03-30 · 未评级
    $0XSS（通用）
25. 3
    CSRF on "Set as primary" option on the accounts page跨站请求伪造 · 2014-07-26 · 未评级
    $100跨站请求伪造