Helium

Helium 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 不安全的直接对象引用2
• 访问控制2
• 密码学缺陷1
• 注入与走私1
• 业务逻辑1
• 其他弱点1
• 开放重定向1
• 服务端请求伪造1
• 身份认证1

主要弱点

• IDOR2
• 敏感信息明文传输1
• HTTP 请求走私1
• 访问控制缺陷（通用）1
• 认证缺陷（通用）1
• 开放重定向1
• 权限提升1
• SSRF1
• 业务逻辑错误1
• Unlabeled1

常见资产

• https://helium-console-dev.herokuapp.com/URL · 11

高票报告

当前状态 11 份 · 全部 11

1. 300
   HTTP request Smuggling注入与走私 · 2020-07-02 · 高危
   $0HTTP 请求走私
2. 263
   Organization Takeover访问控制 · 2020-05-28 · 高危
   $500访问控制缺陷（通用）
3. 92
   Account takeover w/o interaction for a user that doesn't have 2fa enabled via 2fa linking and improper auth at /api/2fa/verify身份认证 · 2020-07-27 · 中危
   $0认证缺陷（通用）
4. 89
   Cleartext Transmission of Sensitive Information Leads to administrator access密码学缺陷 · 2020-05-30 · 中危
   $0敏感信息明文传输
5. 74
   Race Condition of Transfer data Credits to Organization Leads to Add Extra free Data Credits to the Organization业务逻辑 · 2020-11-28 · 中危
   $250业务逻辑错误
6. 54
   SSRF By adding a custom integration on console.helium.com服务端请求伪造 · 2021-05-27 · 高危
   $0SSRF
7. 40
   Organization Takeover via invitation API不安全的直接对象引用 · 2020-05-28 · 中危
   $100IDOR
8. 25
   Hyperlink Injection on Email Invitation开放重定向 · 2020-11-24 · 低危
   $50开放重定向
9. 23
   unpermitted user can change the device name of admin account其他弱点 · 2020-06-16 · 高危
   $0Unlabeled
10. 21
    Read-only user can delete higher privileged members using open DELETE /api/memberships/<membershipID> endpoint访问控制 · 2020-06-30 · 中危
    $0权限提升
11. 19
    Read-Only user can delete users不安全的直接对象引用 · 2020-07-11 · 高危
    $0IDOR