Coinbase

Coinbase 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 身份认证18
• 信息泄露14
• 其他弱点13
• 错误配置9
• 跨站请求伪造7
• 业务逻辑6
• 密码学缺陷4
• 开放重定向3
• 跨站脚本2
• 访问控制1
• 注入与走私1
• 内存破坏1
• 拒绝服务1

主要弱点

• 认证缺陷（通用）15
• Unlabeled13
• 信息泄露9
• 跨站请求伪造7
• 违反安全设计原则（按标题归类）6
• 密码学问题（通用）4
• 业务逻辑错误3
• 违反安全设计原则（按标题归类）3
• 点击劫持3
• Unlabeled2

常见资产

• · 72
• *.coinbase.comURL · 6
• com.coinbase.androidGOOGLE_PLAY_APP_ID · 1
• api.coinbase.comURL · 1

高票报告

当前状态 45 份 · 全部 80

1. 324
   Double Payout via PayPal业务逻辑 · 2018-04-05 · 严重
   $10,000业务逻辑错误
2. 276
   Ethereum account balance manipulation业务逻辑 · 2018-03-21 · 严重
   $0业务逻辑错误
3. 208
   ETH contract handling errors业务逻辑 · 2018-04-05 · 严重
   $0业务逻辑错误
4. 31
   HTML injection in apps user review其他弱点 · 2015-12-21 · 未评级
   $200Unlabeled
5. 27
   Authentication Issue访问控制 · 2017-01-06 · 低危
   $200权限提升
6. 26
   [buy.coinbase.com]Content Injection其他弱点 · 2017-05-26 · 低危
   $0Unlabeled
7. 23
   Captcha Bypass in Coinbase SignUp Form业务逻辑 · 2017-09-06 · 低危
   $100违反安全设计原则（按标题归类）
8. 18
   Bypassing 2FA for BTC transfers身份认证 · 2014-09-25 · 未评级
   $1,000认证缺陷（通用）
9. 16
   Prepopulation of email address and name leaks information provided to other merchants错误配置 · 2018-04-03 · 未评级
   $0点击劫持
10. 16
    OAuth authorization page vulnerable to clickjacking身份认证 · 2016-02-07 · 未评级
    $0认证缺陷（通用）
11. 15
    Stored CSS Injection注入与走私 · 2018-04-03 · 未评级
    $0资源注入
12. 15
    XSSI (Cross Site Script Inclusion)跨站请求伪造 · 2017-08-23 · 未评级
    $0跨站请求伪造
13. 14
    Coinbase Android Application - Bitcoin Wallet Leaks OAuth Response Code信息泄露 · 2014-11-27 · 未评级
    $0信息泄露
14. 13
    Stored-XSS in https://www.coinbase.com/跨站脚本 · 2015-12-07 · 未评级
    $0XSS（通用）
15. 12
    Application error message信息泄露 · 2016-11-29 · 未评级
    $100信息泄露
16. 12
    Blacklist bypass on Callback URLs信息泄露 · 2016-09-15 · 未评级
    $100信息泄露
17. 11
    Email leak in transcations in Android app信息泄露 · 2016-05-17 · 未评级
    $500违反安全设计原则（按标题归类）
18. 10
    Session Issue Maybe Can lead to huge loss [CRITICAL]密码学缺陷 · 2016-02-22 · 未评级
    $1,000密码学问题（通用）
19. 8
    Race condition allowing user to review app multiple times业务逻辑 · 2016-01-14 · 未评级
    $0Unlabeled
20. 8
    Transactions visible on Unconfirmed devices身份认证 · 2015-12-11 · 未评级
    $500认证缺陷（通用）
21. 7
    Information disclosure same issue #176002信息泄露 · 2017-07-22 · 低危
    $100Unlabeled
22. 7
    Information leakage on https://docs.gdax.com信息泄露 · 2016-11-29 · 未评级
    $100信息泄露
23. 7
    ByPassing the email Validation Email on Sign up process in mobile apps业务逻辑 · 2016-11-29 · 未评级
    $100违反安全设计原则（按标题归类）
24. 7
    Leaking CSRF token over HTTP resulting in CSRF protection bypass跨站请求伪造 · 2014-10-16 · 未评级
    $1,000跨站请求伪造
25. 6
    Information disclosure of user by email using buy widget信息泄露 · 2016-11-17 · 中危
    $0信息泄露