MetaMask

MetaMask 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 业务逻辑2
• 信息泄露2
• 访问控制2
• 跨站脚本2
• 身份认证1
• 其他弱点1
• 代码执行1

主要弱点

• 访问控制缺陷（通用）2
• 业务逻辑错误2
• 反射型 XSS1
• 存储型 XSS1
• 输入校验不当1
• 敏感信息不安全存储1
• Authentication Bypass Using an Alternate Path or Channel1
• User Interface (UI) Misrepresentation of Critical Information1
• 命令注入（通用）1

常见资产

• · 4
• MetaMask Browser ExtensionOTHER · 3
• io.metamask.MetamaskAPPLE_STORE_APP_ID · 2
• io.metamaskGOOGLE_PLAY_APP_ID · 1
• SnapsOTHER · 1

高票报告

当前状态 11 份 · 全部 11

1. 131
   total Failure of password protection while extracting seed phrase! increases attack surface area for scammers身份认证 · 2025-08-01 · 中危
   $3,500Authentication Bypass Using an Alternate Path or Channel
2. 90
   Missing Line Terminator on allowedOrigins enables origin spoofing访问控制 · 2024-10-30 · 高危
   $0访问控制缺陷（通用）
3. 87
   MetaMask Browser URL and Transaction Origin Spoofing - Metamask wallet Android & Metamask wallet iOS跨站脚本 · 2023-07-04 · 高危
   $0存储型 XSS
4. 86
   Authorization Bypass in Starknet Snap via enableAuthorize parameter leads to unauthorized transaction signing业务逻辑 · 2026-03-13 · 中危
   $350业务逻辑错误
5. 64
   MetaMask Browser (on Android) does not enforce Content-Security-Policy header跨站脚本 · 2024-08-27 · 中危
   $0反射型 XSS
6. 42
   Sub-Domain Takeover at http://www.codefi.consensys.net/访问控制 · 2022-12-17 · 中危
   $500访问控制缺陷（通用）
7. 40
   Arbitrary file write triggered by deeplink abuse - MetaMask Android业务逻辑 · 2023-07-07 · 中危
   $0业务逻辑错误
8. 40
   CSV Injection at https://assets-paris-demo.codefi.network/代码执行 · 2023-01-04 · 中危
   $500命令注入（通用）
9. 32
   Bypass parsing of transaction data, users on the phishing site will transfer/approve ERC20 tokens without being alerted其他弱点 · 2023-04-11 · 低危
   $1,000输入校验不当
10. 19
    Public Postman Api Collection Leaks Internal access to https://assets-paris-dev.codefi.network/信息泄露 · 2022-05-14 · 中危
    $500敏感信息不安全存储
11. 13
    Possible to spoof Origin in "Connected Sites"信息泄露 · 2023-04-13 · 低危
    $0User Interface (UI) Misrepresentation of Critical Information