Reddit

Reddit 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制13
• 身份认证12
• 跨站脚本10
• 业务逻辑6
• 不安全的直接对象引用6
• 其他弱点5
• 信息泄露5
• 开放重定向4
• 拒绝服务4
• 密码学缺陷2
• 错误配置1
• 内存破坏1
• 跨站请求伪造1
• 代码执行1
• 服务端请求伪造1

主要弱点

• 访问控制缺陷（通用）10
• IDOR6
• 反射型 XSS5
• 资源消耗失控4
• 业务逻辑错误4
• 认证缺陷（通用）4
• 开放重定向4
• 认证尝试次数未限制4
• 存储型 XSS3
• Unlabeled3

常见资产

• www.reddit.comURL · 31
• *.redditinc.comWILDCARD · 6
• *.reddit.comWILDCARD · 4
• com.reddit.frontpageGOOGLE_PLAY_APP_ID · 4
• oauth.reddit.comURL · 3
• accounts.reddit.comURL · 3
• old.reddit.comURL · 2
• ads-api.reddit.comURL · 2
• gql.reddit.comURL · 2
• *.redditgifts.comWILDCARD · 2

高票报告

当前状态 72 份 · 全部 72

1. 42
   Race condition leads to Inflation of coins when bought via Google Play Store at endpoint https://oauth.reddit.com/api/v2/gold/android/verify_purchase业务逻辑 · 2021-10-27 · 中危
   $0TOCTOU 竞态条件
2. 41
   Open Redirect on www.redditinc.com via `failed` query param开放重定向 · 2022-09-23 · 中危
   $0开放重定向
3. 39
   Weak rate limit could lead to ATO due to weak password protection mechanisms身份认证 · 2021-12-16 · 低危
   $0认证尝试次数未限制
4. 34
   Unrestricted File Upload on reddit.secure.force.com其他弱点 · 2022-09-30 · 低危
   $100Unlabeled
5. 33
   [dubsmash] Long String in 'shoutout' Parameter Leading Internal server Error on Popular hastags , Community and User Profile拒绝服务 · 2021-12-14 · 高危
   $0资源消耗失控
6. 32
   Third party app could steal access token as well as protected files using inAppBrowser信息泄露 · 2021-10-27 · 中危
   $0信息泄露
7. 25
   No Rate Limit on redditgifts gift when Adding Comment业务逻辑 · 2021-10-22 · 低危
   $0违反安全设计原则（按标题归类）
8. 21
   Open Redirect on www.redditinc.com via `failed` query param bypass after fixed bug #1257753开放重定向 · 2022-09-30 · 中危
   $0开放重定向
9. 21
   Oauth Misconfiguration Lead To Account Takeover访问控制 · 2021-10-22 · 中危
   $0授权不当
10. 21
    [dubmash] Lack of authorization checks - Update Sound Titles访问控制 · 2021-10-22 · 高危
    $0授权不当
11. 20
    Can use the Reddit android app as usual even though revoking the access of it from reddit.com身份认证 · 2022-07-16 · 严重
    $0会话过期不足
12. 20
    Domain Takeover of Reddit.ru via DNS Hijacking访问控制 · 2021-10-22 · 中危
    $500访问控制缺陷（通用）
13. 19
    Misconfigurated login page able to lock login action for any account without user interaction身份认证 · 2022-06-07 · 严重
    $0Unlabeled
14. 19
    Moderators can send messages to users from banned subreddits via `oauth.reddit.com/api/mod/conversations`其他弱点 · 2022-07-04 · 低危
    $100输入校验不当
15. 18
    [dubsmash] Username and password bruteforce身份认证 · 2021-12-14 · 低危
    $0认证尝试次数未限制
16. 16
    api keys leaked访问控制 · 2022-11-10 · 中危
    $0访问控制缺陷（通用）
17. 14
    read and message other user's messages不安全的直接对象引用 · 2023-05-18 · 严重
    $0IDOR
18. 13
    Missing rate limit in current password change settings leads to Account takeover身份认证 · 2021-10-27 · 中危
    $0认证尝试次数未限制
19. 11
    oauth misconfigration lead to account takeover访问控制 · 2023-05-18 · 未评级
    $0Incorrect Authorization
20. 11
    HTML injection in API response including request url代码执行 · 2023-05-18 · 严重
    $0远程文件包含
21. 11
    No rate limit leads to spaming post身份认证 · 2023-05-18 · 中危
    $0认证缺陷（通用）
22. 11
    Application level DOS at Login Page ( Accepts Long Password )身份认证 · 2022-02-08 · 高危
    $0Unlabeled
23. 11
    registering with the same email address multiple times leads to account takeover身份认证 · 2022-03-15 · 低危
    $0认证缺陷（通用）
24. 10
    Open Redirect through POST Request in www.redditinc.com开放重定向 · 2022-07-09 · 中危
    $0开放重定向
25. 10
    XSS跨站脚本 · 2021-10-22 · 低危
    $0XSS（通用）