Reddit

Reddit 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制13
• 身份认证12
• 跨站脚本10
• 业务逻辑6
• 不安全的直接对象引用6
• 其他弱点5
• 信息泄露5
• 开放重定向4
• 拒绝服务4
• 密码学缺陷2
• 错误配置1
• 内存破坏1
• 跨站请求伪造1
• 代码执行1
• 服务端请求伪造1

主要弱点

• 访问控制缺陷（通用）10
• IDOR6
• 反射型 XSS5
• 资源消耗失控4
• 业务逻辑错误4
• 认证缺陷（通用）4
• 开放重定向4
• 认证尝试次数未限制4
• 存储型 XSS3
• Unlabeled3

常见资产

• www.reddit.comURL · 31
• *.redditinc.comWILDCARD · 6
• *.reddit.comWILDCARD · 4
• com.reddit.frontpageGOOGLE_PLAY_APP_ID · 4
• oauth.reddit.comURL · 3
• accounts.reddit.comURL · 3
• old.reddit.comURL · 2
• ads-api.reddit.comURL · 2
• gql.reddit.comURL · 2
• *.redditgifts.comWILDCARD · 2

高票报告

当前状态 10 份 · 全部 72

1. 238
   Infromation Disclosure To Use of Hard-coded Cryptographic Key密码学缺陷 · 2024-02-07 · 中危
   $0Use of Hard-coded Cryptographic Key
2. 21
   Oauth Misconfiguration Lead To Account Takeover访问控制 · 2021-10-22 · 中危
   $0授权不当
3. 13
   Missing rate limit in current password change settings leads to Account takeover身份认证 · 2021-10-27 · 中危
   $0认证尝试次数未限制
4. 11
   No rate limit leads to spaming post身份认证 · 2023-05-18 · 中危
   $0认证缺陷（通用）
5. 9
   Rate limit is implemented in Reddit , but its not working .身份认证 · 2023-05-18 · 低危
   $0认证缺陷（通用）
6. 9
   User Account has been taken out密码学缺陷 · 2021-10-22 · 严重
   $0Weak Cryptography for Passwords
7. 8
   Huge amount of Subdomains Takeovers at Reddit.com访问控制 · 2023-05-18 · 中危
   $0访问控制缺陷（通用）
8. 8
   No Rate limit on change password leads to account takeover身份认证 · 2021-12-14 · 低危
   $0认证尝试次数未限制
9. 2
   com.reddit.frontpage vulernable to Task Hijacking (aka StrandHogg Attack)其他弱点 · 2021-12-14 · 中危
   $0钓鱼
10. 2
    No Password Length Restriction leads to Denial of Service拒绝服务 · 2021-10-22 · 低危
    $0资源消耗失控