HackerOne

HackerOne 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露172
• 错误配置70
• 访问控制63
• 身份认证53
• 业务逻辑50
• 其他弱点39
• 跨站脚本32
• 拒绝服务26
• 开放重定向24
• 不安全的直接对象引用20
• 跨站请求伪造18
• 代码执行11
• 密码学缺陷9
• 服务端请求伪造7
• 内存破坏4
• 注入与走私4
• SQL 注入3
• 路径遍历2

主要弱点

• 信息泄露149
• 违反安全设计原则（按标题归类）63
• 访问控制缺陷（通用）35
• Unlabeled33
• 认证缺陷（通用）31
• 业务逻辑错误30
• 资源消耗失控26
• 开放重定向21
• IDOR19
• 跨站请求伪造18

常见资产

• hackerone.comURL · 290
• · 261
• www.hackerone.comURL · 23
• https://ctf.hacker101.comURL · 8
• api.hackerone.comURL · 6
• http://hackerone.com/graphqlURL · 6
• events.hackerone.comURL · 3
• app.pullrequest.comURL · 3
• hackerone.liveURL · 2
• support.hackerone.comURL · 2

高票报告

当前状态 17 份 · 全部 607

1. 61
   View any user email using the Team's audit log section信息泄露 · 2024-03-26 · 严重
   $0信息泄露
2. 47
   Two factor authentication bypass身份认证 · 2024-07-11 · 中危
   $0Unlabeled
3. 39
   Business Logic error leads to bypass 2FA requirement业务逻辑 · 2024-07-11 · 高危
   $0业务逻辑错误
4. 37
   Reset the 2FA of the user which can lead to Account Takeover访问控制 · 2024-07-11 · 中危
   $0访问控制缺陷（通用）
5. 37
   Two-factor authentication bypass lead to information disclosure about the program and all hackers participate信息泄露 · 2024-07-11 · 高危
   $0信息泄露
6. 34
   Timing attack towards endpoints on the web without CSRF信息泄露 · 2018-12-27 · 低危
   $0信息泄露
7. 33
   Bypassing Two-Factor Authentication via Account Deactivation and Password Reset访问控制 · 2024-07-11 · 低危
   $0访问控制缺陷（通用）
8. 33
   IDOR on Program Visibilty (Revealed / Concealed) against other team members不安全的直接对象引用 · 2017-11-23 · 中危
   $0IDOR
9. 31
   Improper Authentication - 2FA OTP Reusable身份认证 · 2024-07-11 · 高危
   $0认证缺陷（通用）
10. 27
    Able To Check The Exact Bounty Balance of any Bug Bounty Program信息泄露 · 2017-12-07 · 中危
    $0信息泄露
11. 22
    Introspection query leaks sensitive graphql system information.信息泄露 · 2017-11-22 · 未评级
    $0违反安全设计原则（按标题归类）
12. 15
    Lack of cross-origin request blocking allows leaking of sensitive information on several endpoints信息泄露 · 2018-06-07 · 未评级
    $0信息泄露
13. 13
    Hackers can Invite Collaborators Without 2FA on Programs Requiring 2FA身份认证 · 2024-07-11 · 中危
    $0Unlabeled
14. 12
    javascript: and mailto: links are allowed in JIRA integration settings错误配置 · 2017-04-11 · 低危
    $0违反安全设计原则（按标题归类）
15. 8
    Information disclosure信息泄露 · 2018-12-27 · 低危
    $0信息泄露
16. 8
    Private Program all members disclosed信息泄露 · 2017-11-16 · 未评级
    $0信息泄露
17. 4
    Email Address Leak信息泄露 · 2016-03-31 · 未评级
    $0信息泄露