IRCCloud

IRCCloud 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站请求伪造12
• 身份认证7
• 错误配置6
• 跨站脚本5
• 信息泄露2
• 注入与走私2
• 其他弱点2
• 密码学缺陷1
• 内存破坏1
• 拒绝服务1
• 不安全的直接对象引用1
• 访问控制1

主要弱点

• 跨站请求伪造12
• XSS（通用）5
• 违反安全设计原则（按标题归类）5
• 认证缺陷（通用）5
• 违反安全设计原则（按标题归类）2
• 违反安全设计原则（按标题归类）2
• Unlabeled2
• 隐私侵犯1
• 资源消耗失控1
• Unlabeled1

常见资产

• · 35
• com.irccloud.androidGOOGLE_PLAY_APP_ID · 3
• *.irccloud-cdn.comWILDCARD · 1
• irccloud.comURL · 1
• www.irccloud.comURL · 1

高票报告

当前状态 41 份 · 全部 41

1. 66
   IDOR with Geolocation data not stripped from images不安全的直接对象引用 · 2020-07-26 · 高危
   $200IDOR
2. 63
   XSS from Mastodon embeds跨站脚本 · 2023-10-09 · 高危
   $500XSS（通用）
3. 48
   Cross Site Scripting(XSS) on IRCCloud Badges Page (using Parameter Pollution)跨站脚本 · 2016-07-09 · 未评级
   $0XSS（通用）
4. 44
   [IRCCloud Android] XSS in ImageViewerActivity其他弱点 · 2017-11-03 · 中危
   $0Unlabeled
5. 31
   [IRCCloud Android] Theft of arbitrary files leading to token leakage信息泄露 · 2017-11-15 · 高危
   $0隐私侵犯
6. 17
   Full account takeover using CSRF and password reset跨站请求伪造 · 2014-04-14 · 未评级
   $0跨站请求伪造
7. 16
   [IRCCloud Android] Opening arbitrary URLs/XSS in SAMLAuthActivity其他弱点 · 2017-11-03 · 中危
   $0Unlabeled
8. 15
   Exposed, outdated nginx server (v1.4.6) potentially vulnerable to heap-based buffer overflow & RCE内存破坏 · 2016-10-15 · 未评级
   $0内存破坏（通用）
9. 10
   Host Header Injection - irccloud.com注入与走私 · 2014-07-08 · 未评级
   $100违反安全设计原则（按标题归类）
10. 8
    Login CSRF can be bypassed (Similar approach to previous one).跨站请求伪造 · 2014-05-20 · 未评级
    $0跨站请求伪造
11. 8
    Login page password-guessing attack(Brute-force attack-High).身份认证 · 2014-04-26 · 未评级
    $0认证缺陷（通用）
12. 6
    Bug in iOS application which could lead to unauthorised access.身份认证 · 2014-05-15 · 未评级
    $0认证缺陷（通用）
13. 6
    Missing X-Content-Type-Options错误配置 · 2014-05-15 · 未评级
    $0违反安全设计原则（按标题归类）
14. 5
    Missing robots exclusion header for user uploads访问控制 · 2017-10-27 · 低危
    $50访问控制缺陷（通用）
15. 5
    Bruteforce protection not enabled on the login page https://www.irccloud.com/密码学缺陷 · 2014-10-09 · 未评级
    $0密码学问题（通用）
16. 5
    DNS Misconfiguration错误配置 · 2014-04-11 · 未评级
    $0Unlabeled
17. 5
    iOS application does not destroy session upon logout.身份认证 · 2014-05-23 · 未评级
    $0认证缺陷（通用）
18. 5
    "SESSION" Cookie without HttpOnly flag set身份认证 · 2014-05-11 · 未评级
    $0认证缺陷（通用）
19. 5
    Session Token is not Verified while changing Account Setting's which Result In account Takeover跨站请求伪造 · 2014-04-23 · 未评级
    $0跨站请求伪造
20. 5
    Leaking Referrer in Reset Password Link信息泄露 · 2014-04-12 · 未评级
    $100违反安全设计原则（按标题归类）
21. 4
    Email verification links still valid after changing it 2x错误配置 · 2015-03-13 · 未评级
    $0违反安全设计原则（按标题归类）
22. 4
    Weak password policy身份认证 · 2014-11-28 · 未评级
    $0认证缺陷（通用）
23. 4
    Dangerous Persistent xss跨站脚本 · 2014-05-13 · 未评级
    $0XSS（通用）
24. 4
    Unwanted Spamming Using CSRF [LOGGED IN USER]跨站请求伪造 · 2014-05-17 · 未评级
    $0跨站请求伪造
25. 4
    Host Header is not validated resulting in Open Redirect注入与走私 · 2014-04-24 · 未评级
    $100违反安全设计原则（按标题归类）