Shopify

Shopify 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本128
• 访问控制96
• 身份认证67
• 信息泄露52
• 开放重定向20
• 其他弱点20
• 错误配置19
• 跨站请求伪造16
• 业务逻辑13
• 不安全的直接对象引用8
• 服务端请求伪造8
• 注入与走私6
• 代码执行5
• 拒绝服务4
• 密码学缺陷3
• 内存破坏1
• 路径遍历1

主要弱点

• XSS（通用）57
• 认证缺陷（通用）49
• 访问控制缺陷（通用）44
• 信息泄露40
• 存储型 XSS36
• 权限提升30
• 开放重定向19
• Unlabeled19
• 反射型 XSS18
• 跨站请求伪造16

常见资产

• · 185
• your-store.myshopify.comURL · 112
• Shopify Developed AppsOTHER · 49
• *.shopify.comWILDCARD · 27
• partners.shopify.comURL · 22
• accounts.shopify.comURL · 9
• *.shopifycloud.comWILDCARD · 9
• Plus Web Admin with Single Domain FeatureOTHER · 8
• exchangemarketplace.comURL · 7
• Shopify Mobile ApplicationsOTHER · 7

高票报告

当前状态 467 份 · 全部 467

1. 166
   [h1-2102] FQDN takeover on all Shopify wholesale customer domains by trailing dot (RFC 1034)访问控制 · 2021-03-25 · 中危
   $3,100Incorrect Permission Assignment for Critical Resource
2. 159
   XSS in www.shopify.com/markets?utm_source=跨站脚本 · 2022-10-18 · 低危
   $0反射型 XSS
3. 157
   Undocumented `fileCopy` GraphQL API访问控制 · 2020-10-23 · 中危
   $2,000访问控制缺陷（通用）
4. 157
   Session works after logout from Shopify account and password of online store is displayed身份认证 · 2020-04-28 · 低危
   $0Unlabeled
5. 153
   Stored XSS in SVG file as data: url跨站脚本 · 2023-02-01 · 中危
   $5,300存储型 XSS
6. 150
   Informations disclosure - Access to some checkout informations信息泄露 · 2021-03-13 · 中危
   $0Unlabeled
7. 145
   User with removed manage shops permissions is still able to make changes to a shop访问控制 · 2020-06-12 · 中危
   $0访问控制缺陷（通用）
8. 144
   H1514 Session Fixation on multiple shopify-built apps on *.shopifycloud.com and *.shopifyapps.com身份认证 · 2019-04-25 · 未评级
   $0会话固定
9. 136
   HTTP Response Header Injection in shopify/pitchfork + Rack 3注入与走私 · 2025-03-27 · 低危
   $800HTTP Response Splitting
10. 135
    [Information Disclosure] Amazon S3 Bucket of Shopify Ping (iOS) have public access of other users image信息泄露 · 2020-11-21 · 中危
    $2,900信息泄露
11. 134
    Create free Shopify application credits.访问控制 · 2021-09-11 · 中危
    $0访问控制缺陷（通用）
12. 128
    Reflected XSS In Marketing Reports Page On *.myshopify.com/admin跨站脚本 · 2025-04-16 · 中危
    $0反射型 XSS
13. 124
    Stored XSS in private message跨站脚本 · 2019-11-08 · 中危
    $1,000存储型 XSS
14. 121
    XSS on any Shopify shop via abuse of the HTML5 structured clone algorithm in postMessage listener on "/:id/digital_wallets/dialog"跨站脚本 · 2017-05-31 · 未评级
    $3,000DOM 型 XSS
15. 116
    Disclose Any Store products, Files, Purchase Orders Via Email through Shopify Stocky APP访问控制 · 2020-02-03 · 未评级
    $0权限提升
16. 112
    Account Takeover Vulnerability in Shopify Collabs Platform Due to Missing Email Verification身份认证 · 2025-03-12 · 低危
    $800Unlabeled
17. 111
    Reflected XSS on help.shopify.com跨站脚本 · 2024-01-25 · 低危
    $500反射型 XSS
18. 111
    Access to Employee calendar disclosing internal presentation and meetings访问控制 · 2019-03-09 · 低危
    $1,000访问控制缺陷（通用）
19. 110
    Reflected XSS in AI Chat Bot Greetings at help.shopify.com via Markdown Image Rendering跨站脚本 · 2026-06-18 · 中危
    $1,600反射型 XSS
20. 109
    Admin panel Exposure without credential at https://plus-website.shopifycloud.com/admin.php访问控制 · 2022-08-12 · 中危
    $2,900访问控制缺陷（通用）
21. 106
    Stored XSS in Shopify Chat跨站脚本 · 2019-12-23 · 低危
    $500存储型 XSS
22. 104
    Reflected XSS in *.myshopify.com/account/register跨站脚本 · 2019-03-13 · 中危
    $0反射型 XSS
23. 102
    Bypass a fix for report #708013身份认证 · 2021-12-07 · 中危
    $3,500认证尝试次数未限制
24. 101
    Exposed Cortex API at https://cortex-ingest.shopifycloud.com/错误配置 · 2022-12-03 · 中危
    $6,300错误配置
25. 98
    Reflected XSS online-store-git.shopifycloud.com跨站脚本 · 2022-01-21 · 中危
    $3,500反射型 XSS