Internet Bug Bounty

Internet Bug Bounty 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 内存破坏392
• 拒绝服务73
• 其他弱点64
• 代码执行63
• 信息泄露38
• 密码学缺陷36
• 访问控制25
• 业务逻辑22
• 注入与走私21
• 跨站脚本17
• 身份认证12
• 路径遍历10
• 开放重定向6
• 服务端请求伪造6
• SQL 注入4
• 错误配置2
• 跨站请求伪造2
• 不安全的直接对象引用1

主要弱点

• 内存破坏（通用）197
• Unlabeled61
• 资源消耗失控60
• Unlabeled52
• 代码注入42
• 缓冲区越界读35
• 信息泄露29
• 释放后使用22
• 堆溢出21
• 密码学问题（通用）20

常见资产

• PHPOTHER · 270
• IBB (Legacy)OTHER · 169
• Python (Legacy)OTHER · 63
• https://github.com/curl/curlSOURCE_CODE · 45
• OpenSSL (Legacy)OTHER · 37
• https://github.com/nodejs/nodeSOURCE_CODE · 28
• https://github.com/apache/airflowSOURCE_CODE · 28
• https://github.com/apache/httpdSOURCE_CODE · 25
• https://github.com/railsSOURCE_CODE · 22
• Perl (Legacy)OTHER · 16

高票报告

当前状态 794 份 · 全部 794

1. 64
   Type Confusion Vulnerability - SOAP / make_http_soap_request()内存破坏 · 2019-10-15 · 未评级
   $1,000内存破坏（通用）
2. 61
   CVE-2024-53908: Django Potential SQL injection in `HasKey(lhs, rhs)` on OracleSQL 注入 · 2025-02-07 · 高危
   $0SQL 注入
3. 60
   [CVE-2024-47888] Possible ReDoS vulnerability in plain_text_for_blockquote_node in Action Text拒绝服务 · 2024-11-29 · 低危
   $505资源消耗失控
4. 60
   CVE-2024-34750 Apache Tomcat DoS vulnerability in HTTP/2 connector拒绝服务 · 2024-07-05 · 高危
   $4,920资源消耗失控
5. 60
   CVE-2022-40127: RCE in Apache Airflow <2.4.0 bash example代码执行 · 2023-01-05 · 高危
   $4,000代码注入
6. 58
   Out-of-bounds read in iconv.c:_php_iconv_mime_decode() due to integer overflow内存破坏 · 2020-10-12 · 高危
   $1,500缓冲区越界读
7. 58
   Inappropriate URL parsing may cause security risk!服务端请求伪造 · 2019-11-12 · 中危
   $1,000SSRF
8. 57
   Apache Airflow Fab Provider: Application does not invalidate session after password change via Airflow cli身份认证 · 2025-05-29 · 低危
   $0会话过期不足
9. 57
   CVE-2024-21733 Apache Tomcat HTTP Request Smuggling (Client- Side Desync) (CWE: 444)注入与走私 · 2024-01-30 · 高危
   $4,660HTTP 请求走私
10. 57
    curl HSTS long file name clears contents密码学缺陷 · 2024-01-21 · 低危
    $0Missing Encryption of Sensitive Data
11. 56
    CVE-2025-24813: Remote Code Execution and/or Information disclosure and/or malicious content added to uploaded files via write enabled Default Servlet代码执行 · 2025-04-27 · 高危
    $4,323不可信数据反序列化
12. 56
    Possible DoS Vulnerability with Range Header in Rack其他弱点 · 2024-09-25 · 高危
    $5,420Unlabeled
13. 55
    ReDoS Vulnerability in HTTP Accept Headers Parsing拒绝服务 · 2024-10-31 · 中危
    $2,642Unlabeled
14. 54
    CVE-2024-45498: Apache Airflow Command injection in read_dataset_event_from_classic DAG代码执行 · 2024-12-07 · 低危
    $0Unlabeled
15. 54
    Proxy-Authorization header not cleared on cross-origin redirect in undici.request信息泄露 · 2024-05-29 · 低危
    $420信息泄露
16. 53
    `std::process::Command` batch files argument escaping could be bypassed with trailing whitespace or periods业务逻辑 · 2024-11-23 · 低危
    $505Unlabeled
17. 52
    CVE-2024-42005: Potential SQL injection in QuerySet.values() and values_list()SQL 注入 · 2024-08-25 · 高危
    $4,263Unlabeled
18. 52
    Integer overflow leading to buffer overflow内存破坏 · 2019-09-26 · 严重
    $1,000整数溢出
19. 52
    Race Conditions in OAuth 2 API implementations身份认证 · 2017-09-20 · 中危
    $0认证缺陷（通用）
20. 51
    important: Apache HTTP Server weakness with encoded question marks in backreferences (CVE-2024-38474)其他弱点 · 2024-07-13 · 高危
    $4,920输入校验不当
21. 51
    Request Smuggling in Apache Tomcat (Important, CVE-2023-45648)注入与走私 · 2024-02-07 · 高危
    $4,660HTTP 请求走私
22. 51
    ReDoS( Ruby, Time)拒绝服务 · 2023-04-26 · 高危
    $4,000资源消耗失控
23. 51
    Buffer overflow in PyCArg_repr in _ctypes/callproc.c for Python 3.x to 3.9.1内存破坏 · 2021-08-26 · 高危
    $1,500经典缓冲区溢出
24. 50
    CVE-2023-42663: Apache Airflow: Bypass permission verification to view task instances of other dags访问控制 · 2023-11-13 · 低危
    $540Unlabeled
25. 50
    Heap overflow in mysqlnd related to BIT fields (CVE-2016-7412)内存破坏 · 2019-11-12 · 中危
    $0内存破坏（通用）