Eternal

Eternal 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本31
• 信息泄露12
• 业务逻辑11
• SQL 注入11
• 身份认证11
• 访问控制11
• 不安全的直接对象引用9
• 错误配置9
• 跨站请求伪造6
• 其他弱点4
• 密码学缺陷4
• 代码执行3
• 开放重定向2
• 注入与走私2
• 内存破坏1
• 服务端请求伪造1

主要弱点

• XSS（通用）20
• SQL 注入11
• 业务逻辑错误10
• IDOR9
• 认证缺陷（通用）8
• 反射型 XSS7
• 跨站请求伪造6
• 访问控制缺陷（通用）6
• 信息泄露6
• Unlabeled4

常见资产

• *.zomato.comWILDCARD · 65
• · 50
• com.application.zomatoGOOGLE_PLAY_APP_ID · 7
• 434613896APPLE_STORE_APP_ID · 2
• www.zomatobook.comURL · 1
• *.hyperpure.comWILDCARD · 1
• com.application.zomatomerchantGOOGLE_PLAY_APP_ID · 1
• *.zomans.comWILDCARD · 1

高票报告

当前状态 113 份 · 全部 128

1. 559
   Stealing Zomato X-Access-Token: in Bulk using HTTP Request Smuggling on api.zomato.com注入与走私 · 2020-07-09 · 严重
   $0HTTP 请求走私
2. 326
   [www.zomato.com] SQLi - /php/██████████ - item_idSQL 注入 · 2018-09-11 · 严重
   $4,500SQL 注入
3. 251
   Improper Validation at Partners Login身份认证 · 2021-10-06 · 严重
   $2,000认证缺陷（通用）
4. 246
   [www.zomato.com] CORS Misconfiguration, could lead to disclosure of sensitive information错误配置 · 2018-11-28 · 中危
   $550Unlabeled
5. 229
   SQL Injection in www.hyperpure.com代码执行 · 2021-02-22 · 严重
   $2,000代码注入
6. 229
   [www.zomato.com] Availing Zomato Gold membership for free by tampering plan id(s)业务逻辑 · 2019-03-18 · 中危
   $0业务逻辑错误
7. 221
   [www.zomato.com] Blind XSS on one of the Admin Dashboard跨站脚本 · 2019-11-19 · 高危
   $750XSS（通用）
8. 178
   Information Disclosure through Sentry Instance ███████信息泄露 · 2019-09-19 · 高危
   $750调试信息泄露
9. 137
   Solr Injection in `user_id` parameter at :/v2/leaderboard_v2.jsonSQL 注入 · 2020-08-10 · 严重
   $2,000SQL 注入
10. 136
    [api.zomato.com] Able to manipulate order amount业务逻辑 · 2019-04-16 · 高危
    $0业务逻辑错误
11. 132
    Add upto 10K rupees to a wallet by paying an arbitrary amount业务逻辑 · 2022-02-23 · 高危
    $2,000业务逻辑错误
12. 130
    Able to manipulate order amount by removing cancellation amount and cause financial impact业务逻辑 · 2019-08-16 · 高危
    $0业务逻辑错误
13. 116
    Availing Zomato gold by using a random third-party `wallet_id`业务逻辑 · 2020-08-08 · 严重
    $2,000业务逻辑错误
14. 114
    [Zomato Order] Insecure deeplink leads to sensitive information disclosure信息泄露 · 2021-09-23 · 高危
    $750Unlabeled
15. 113
    [www.zomato.com] Leaking Email Addresses of merchants via reset password feature访问控制 · 2021-02-18 · 未评级
    $0访问控制缺陷（通用）
16. 108
    Claiming the listing of a non-delivery restaurant through OTP manipulation访问控制 · 2022-02-22 · 严重
    $3,250授权不当
17. 103
    Login to any account with the emailaddress身份认证 · 2017-08-17 · 高危
    $1,000认证缺陷（通用）
18. 102
    [www.zomato.com] Blind XSS in one of the admin dashboard跨站脚本 · 2019-05-01 · 高危
    $500XSS（通用）
19. 99
    Subdomain takeover of fr1.vpn.zomans.com业务逻辑 · 2021-09-17 · 中危
    $350业务逻辑错误
20. 99
    Base alpha version code exposure信息泄露 · 2016-10-14 · 未评级
    $0信息泄露
21. 78
    credentials leakage in public lead to view dev websites信息泄露 · 2019-03-18 · 低危
    $0信息泄露
22. 78
    [www.zomato.com] Tampering with Order Quantity and paying less amount then actual amount, leads to business loss业务逻辑 · 2018-09-17 · 高危
    $0业务逻辑错误
23. 76
    Page has a link to google drive which has logos and a few customer phone recordings信息泄露 · 2022-02-21 · 中危
    $200敏感信息明文存储
24. 72
    [https://reviews.zomato.com] Time Based SQL InjectionSQL 注入 · 2018-02-02 · 严重
    $1,000SQL 注入
25. 68
    [www.zomato.com] Blind SQL Injection in /php/geto2bannerSQL 注入 · 2020-08-10 · 严重
    $2,000SQL 注入