U.S. Dept Of Defense

U.S. Dept Of Defense 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本249
• 信息泄露162
• SQL 注入75
• 访问控制73
• 代码执行70
• 身份认证50
• 路径遍历48
• 不安全的直接对象引用33
• 跨站请求伪造25
• 注入与走私21
• 服务端请求伪造20
• 错误配置19
• 密码学缺陷11
• 业务逻辑9
• 拒绝服务8
• 开放重定向5
• 内存破坏4
• 其他弱点2

主要弱点

• 反射型 XSS162
• 信息泄露109
• SQL 注入75
• 访问控制缺陷（通用）58
• XSS（通用）55
• 路径遍历46
• 代码注入37
• 认证缺陷（通用）33
• IDOR32
• 跨站请求伪造25

常见资产

• · 884

高票报告

当前状态 884 份 · 全部 884

1. 192
   Stored Xss Vulnerability on ████████跨站脚本 · 2020-05-15 · 高危
   $0存储型 XSS
2. 145
   Bypassing CORS Misconfiguration Leads to Sensitive Exposure业务逻辑 · 2020-05-15 · 中危
   $0业务逻辑错误
3. 142
   Applicant security exam Attachments/Documents accessible through an IDOR/BAC on the custom Apex controller on https://█████.mil访问控制 · 2025-02-13 · 严重
   $0访问控制缺陷（通用）
4. 118
   Public instance of Jenkins on https://██████████/ with /script enabled代码执行 · 2020-01-31 · 严重
   $0代码注入
5. 114
   Remote Code Execution and AWS IAM Credentials Exfiltration in https://████████/代码执行 · 2024-12-19 · 严重
   $0命令注入（通用）
6. 104
   [hta3] Remote Code Execution on ████代码执行 · 2023-05-15 · 严重
   $0代码注入
7. 102
   Wordpress Takeover using setup configuration at http://████.edu [HtUS]错误配置 · 2023-01-14 · 严重
   $1,000错误配置
8. 99
   Public google drive link Exposes Military Orders Containing PII (Name, SSN etc..) and Operational Details信息泄露 · 2025-01-24 · 严重
   $0信息泄露
9. 98
   Lack of rate limiting in https://███/PKI/PassReset.aspx leads to PII disclosure and potential account takeover信息泄露 · 2024-10-26 · 严重
   $0错误信息泄露
10. 97
    [███████] Information disclosure due unauthenticated access to APIs and system browser functions信息泄露 · 2023-11-04 · 中危
    $0信息泄露
11. 97
    XXE in DoD website that may lead to RCE注入与走私 · 2019-10-04 · 严重
    $0XXE
12. 96
    Time based SQL injection at████████SQL 注入 · 2024-01-27 · 高危
    $0SQL 注入
13. 94
    LOGJ4 VUlnerability [HtUS]代码执行 · 2022-11-19 · 严重
    $1,000命令注入（通用）
14. 94
    Remote Code Execution in ██████代码执行 · 2020-05-12 · 严重
    $0操作系统命令注入
15. 91
    SQL InjectionSQL 注入 · 2024-10-25 · 高危
    $0SQL 注入
16. 90
    ███ leaking PII of tour visitors (names, email addresses, phone numbers) via misconfigured record permissions信息泄露 · 2024-03-23 · 严重
    $0敏感信息明文存储
17. 88
    User automatically logged in as Sys Admin user on https://███/Administration/Administration.aspx访问控制 · 2023-11-04 · 严重
    $0访问控制缺陷（通用）
18. 87
    CSRF leads to Account takeover跨站请求伪造 · 2024-12-19 · 高危
    $0跨站请求伪造
19. 87
    [SQLI ]Time Bassed Injection at ██████████ via referer headerSQL 注入 · 2020-10-17 · 高危
    $0SQL 注入
20. 84
    Remote Code Execution (RCE) in a DoD website代码执行 · 2019-10-04 · 严重
    $0代码注入
21. 83
    Publicly Editable U.S. Air Force Google Spreadsheet Exposing Student Leave Data访问控制 · 2025-02-13 · 中危
    $0访问控制缺陷（通用）
22. 81
    Blind Sql Injection in https://████SQL 注入 · 2024-08-30 · 中危
    $0SQL 注入
23. 80
    SQL Injection on www.██████████ on countID parameterSQL 注入 · 2019-10-09 · 高危
    $0SQL 注入
24. 77
    Improper Authentication Allows Making Appeals as Other Users身份认证 · 2025-02-13 · 中危
    $0认证缺陷（通用）
25. 77
    IDOR leading unauthenticated attacker to download documents discloses PII of users and soldiers via https://www.█████████/Download.aspx?id= [HtUS]不安全的直接对象引用 · 2024-06-28 · 高危
    $500IDOR