Liberapay

Liberapay 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露9
• 身份认证9
• 业务逻辑6
• 跨站请求伪造5
• 访问控制4
• 其他弱点4
• 跨站脚本2
• 内存破坏2
• 代码执行2
• 开放重定向2
• 不安全的直接对象引用2
• 错误配置1
• 注入与走私1

主要弱点

• 业务逻辑错误6
• 跨站请求伪造5
• 认证缺陷（通用）5
• 信息泄露4
• 访问控制缺陷（通用）4
• 违反安全设计原则（按标题归类）3
• Unlabeled3
• 不可信数据反序列化2
• 经典缓冲区溢出2
• 开放重定向2

常见资产

• *.liberapay.comWILDCARD · 40
• https://github.com/liberapay/liberapay.comSOURCE_CODE · 8
• *.liberapay.orgWILDCARD · 1

高票报告

当前状态 17 份 · 全部 49

1. 68
   Unauthenticated team "income/payments" export ignores donor privacy settings (hide_giving, hide_from_lists) and uses frozen visibility, exposing donat身份认证 · 2026-08-01 · 中危
   $100Unlabeled
2. 65
   Liberapay member team twitter account broken Link Hijacking via Expired Twitter Account Link开放重定向 · 2026-05-09 · 未评级
   $0开放重定向
3. 55
   Unsafe yaml load can lead to remote code execution代码执行 · 2024-05-04 · 低危
   $0不可信数据反序列化
4. 48
   Avatar URL is exposed in patron export for secret donations信息泄露 · 2023-12-15 · 中危
   $0隐私侵犯
5. 46
   Login CSRF : Login Authentication Flaw on https://liberapay.com/其他弱点 · 2021-04-05 · 低危
   $0钓鱼
6. 35
   Exploiting JSONP callback on /username/charts.json endpoint leads to information disclosure despite user's privacy settings信息泄露 · 2018-06-05 · 中危
   $0信息泄露
7. 34
   Email Address Exposure via Gratipay Migration Tool不安全的直接对象引用 · 2022-10-09 · 中危
   $100IDOR
8. 34
   Origin IP found, Cloudflare bypassed访问控制 · 2018-06-02 · 中危
   $0访问控制缺陷（通用）
9. 22
   Import of repositories from GitHub is tied to username instead of immutable ID访问控制 · 2018-12-03 · 低危
   $0访问控制缺陷（通用）
10. 18
    Unsafe deserialization in Libera Pay allows to escalate a SQL injection to Remote Command Execution代码执行 · 2018-06-05 · 未评级
    $0不可信数据反序列化
11. 16
    Failure to Invalid Session after Password Change身份认证 · 2021-03-12 · 低危
    $0违反安全设计原则（按标题归类）
12. 16
    Authenticated reflected XSS on liberapay.com via the back_to parameter when leaving a team.跨站脚本 · 2018-06-02 · 低危
    $0反射型 XSS
13. 14
    Private target account appears in search results信息泄露 · 2019-11-06 · 低危
    $0隐私侵犯
14. 10
    Invalidate session after password reset身份认证 · 2019-11-05 · 低危
    $0违反安全设计原则（按标题归类）
15. 10
    Reauthentication for changing password bypass身份认证 · 2020-12-23 · 低危
    $0认证缺陷（通用）
16. 6
    Anyone can register organization legal type as "Soletrader"注入与走私 · 2018-06-04 · 低危
    $0资源注入
17. 5
    Missing back-end user input validation can lead to DOS flaw业务逻辑 · 2018-06-05 · 未评级
    $0业务逻辑错误