Omise

Omise 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制8
• 信息泄露6
• 身份认证5
• 服务端请求伪造3
• 跨站脚本2
• 业务逻辑2
• 开放重定向2
• 跨站请求伪造1
• 注入与走私1
• 其他弱点1

主要弱点

• 访问控制缺陷（通用）6
• 信息泄露5
• SSRF3
• 开放重定向2
• 认证尝试次数未限制2
• 业务逻辑错误2
• 权限提升1
• Unlabeled1
• Unlabeled1
• Unlabeled1

常见资产

• dashboard.omise.coURL · 12
• www.omise.coURL · 4
• dashboard2.omise.coURL · 4
• link.omise.coURL · 3
• go.exchangeURL · 3
• www.opn.oooURL · 2
• github.comSOURCE_CODE · 1
• api.omise.coURL · 1
• · 1

高票报告

当前状态 31 份 · 全部 31

1. 214
   SSRF in webhooks leads to AWS private keys disclosure服务端请求伪造 · 2019-06-28 · 高危
   $0SSRF
2. 110
   Facebook Username Takeover via Broken Link in Footer访问控制 · 2025-05-30 · 低危
   $0访问控制缺陷（通用）
3. 105
   2FA requirement bypass when inviting team members访问控制 · 2026-03-01 · 中危
   $0访问控制缺陷（通用）
4. 88
   Found Origin IP's Lead To Access To [ Grafana Instance , PgHero Instance [ Can SQL Injection ]访问控制 · 2019-10-09 · 中危
   $0访问控制缺陷（通用）
5. 78
   PII Exposure via Email Confirmation Link – Email Embedded in Token & Leaked via Wayback Machine信息泄露 · 2025-08-23 · 中危
   $0信息泄露
6. 77
   Pending invites remain valid even after the inviter is removed.访问控制 · 2025-10-08 · 高危
   $0权限提升
7. 74
   Subdomain takeover http://accessday.opn.ooo/访问控制 · 2023-06-11 · 中危
   $50访问控制缺陷（通用）
8. 72
   Open Redirect开放重定向 · 2019-03-25 · 低危
   $100开放重定向
9. 65
   XSS via X-Forwarded-Host header跨站脚本 · 2022-01-29 · 中危
   $200反射型 XSS
10. 61
    Email enumeration at SignUp page信息泄露 · 2019-09-04 · 低危
    $0信息泄露
11. 58
    Open redirect Via X-Forwarded-Host开放重定向 · 2024-11-17 · 低危
    $0开放重定向
12. 50
    Host Header Injection leads to Open Redirect and Content Spoofing or Text Injection.注入与走私 · 2022-04-09 · 中危
    $300Unlabeled
13. 45
    Broken Authentication and Session Management Flaw After Change Password and Logout身份认证 · 2020-11-08 · 低危
    $0违反安全设计原则（按标题归类）
14. 43
    Cache Pollution via Unkeyed GET Parameters on www.omise.co其他弱点 · 2026-02-12 · 中危
    $0Unlabeled
15. 40
    Signup with any email and enable 2FA without verifying email身份认证 · 2020-04-23 · 中危
    $0Unlabeled
16. 38
    ████.访问控制 · 2021-01-02 · 中危
    $100访问控制缺陷（通用）
17. 37
    IDOR Payments Status业务逻辑 · 2022-09-06 · 低危
    $100业务逻辑错误
18. 36
    The endpoint '/test/webhooks' is vulnerable to DNS Rebinding服务端请求伪造 · 2023-04-26 · 中危
    $200SSRF
19. 32
    Secret API Key is logged in cleartext信息泄露 · 2022-12-23 · 中危
    $0敏感信息明文存储
20. 26
    Anonymous access control - Payments Status访问控制 · 2022-08-07 · 中危
    $100访问控制缺陷（通用）
21. 26
    Race condition on action: Invite members to a team业务逻辑 · 2022-03-23 · 低危
    $0业务逻辑错误
22. 24
    assets/vendor.js file exposing sentry.io token and DNS and application id .信息泄露 · 2021-02-10 · 中危
    $0信息泄露
23. 18
    Failure to Invalid Session after Password Change身份认证 · 2019-12-09 · 中危
    $0会话过期不足
24. 14
    Open S3 Bucket Accessible by any User信息泄露 · 2022-04-13 · 未评级
    $100信息泄露
25. 14
    Brute force attack of current password on login page by bypassing account limit using IP rotator(https://dashboard.omise.co/signin)身份认证 · 2022-03-04 · 中危
    $0认证尝试次数未限制