Moneybird

Moneybird 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本8
• 开放重定向3
• 错误配置3
• 身份认证3
• 信息泄露2
• 拒绝服务2
• 代码执行2
• 访问控制1
• 密码学缺陷1
• 不安全的直接对象引用1
• 业务逻辑1

主要弱点

• XSS（通用）6
• 违反安全设计原则（按标题归类）3
• 开放重定向3
• 命令注入（通用）2
• 存储型 XSS2
• 资源消耗失控2
• 认证尝试次数未限制1
• 信息泄露1
• IDOR1
• 访问控制缺陷（通用）1

常见资产

• · 19
• moneybird.comURL · 8

高票报告

当前状态 27 份 · 全部 27

1. 164
   Bypass password reset rate limit protection at moneybird.com/passwords拒绝服务 · 2019-12-22 · 高危
   $0资源消耗失控
2. 149
   Enable 2FA without verifying the email拒绝服务 · 2019-10-25 · 中危
   $0资源消耗失控
3. 34
   Open Redirect through POST Request in OAuth开放重定向 · 2021-09-21 · 低危
   $0开放重定向
4. 32
   No rate Limit业务逻辑 · 2021-05-03 · 低危
   $0Unlabeled
5. 29
   Access control issue on invoice documents downloading feature.访问控制 · 2021-04-01 · 低危
   $0访问控制缺陷（通用）
6. 28
   Open Redirection while saving User account Settings开放重定向 · 2017-11-15 · 中危
   $0开放重定向
7. 22
   IDOR in https://moneybird.com/user/accountant_company/edit(change company name)不安全的直接对象引用 · 2021-09-21 · 低危
   $0IDOR
8. 19
   Bypass of Rate limiting in secure_session endpoint's password input will lead to user password disclosure身份认证 · 2021-05-06 · 未评级
   $0认证尝试次数未限制
9. 15
   Pending MFA logins aren't immediatly expired after a password change身份认证 · 2020-07-10 · 低危
   $0会话固定
10. 15
    Employees with Any Permissions Can Create App with Full Permissions and Perform any API Action身份认证 · 2016-06-13 · 未评级
    $0认证缺陷（通用）
11. 13
    Stored XSS at Moneybird跨站脚本 · 2017-08-17 · 中危
    $0存储型 XSS
12. 13
    Stored Cross Site Scripting in Customer Name跨站脚本 · 2017-03-17 · 低危
    $0XSS（通用）
13. 13
    Logging out any user错误配置 · 2016-08-27 · 未评级
    $0违反安全设计原则（按标题归类）
14. 13
    XXE issue代码执行 · 2017-03-17 · 未评级
    $0命令注入（通用）
15. 12
    Stored XSS on add project跨站脚本 · 2020-10-05 · 中危
    $0存储型 XSS
16. 9
    [STORED XSS] in debtor reports of ,,invoices''跨站脚本 · 2016-07-06 · 未评级
    $0XSS（通用）
17. 9
    Stored XSS thru SVG upload跨站脚本 · 2017-03-17 · 未评级
    $0XSS（通用）
18. 7
    Stored XSS in Financial Account executing in Bank tab跨站脚本 · 2016-06-13 · 未评级
    $0XSS（通用）
19. 6
    Moneybird customers invoices leak in cacheable urls信息泄露 · 2017-08-16 · 低危
    $0Unlabeled
20. 6
    Webhook allows sending payload using insecure HTTP protocol密码学缺陷 · 2017-06-28 · 未评级
    $0密码学问题（通用）
21. 6
    Open Redirect vulnerability in moneybird.com开放重定向 · 2016-07-28 · 未评级
    $0开放重定向
22. 5
    Malicious File Upload错误配置 · 2016-06-13 · 未评级
    $0违反安全设计原则（按标题归类）
23. 4
    Content Spoofing In Moneybird错误配置 · 2016-08-27 · 未评级
    $0违反安全设计原则（按标题归类）
24. 3
    CSV Injection with the CSV export feature代码执行 · 2016-06-13 · 未评级
    $0命令注入（通用）
25. 2
    [Stored Cross-Site-Scripting] When search about Incoming ( Manual Jurnal )跨站脚本 · 2016-08-05 · 未评级
    $0XSS（通用）