TikTok

TikTok 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本34
• 访问控制18
• 不安全的直接对象引用17
• 跨站请求伪造12
• 信息泄露11
• 身份认证6
• 错误配置5
• 其他弱点3
• 代码执行3
• 服务端请求伪造2
• 业务逻辑2
• 开放重定向2
• 拒绝服务1
• 注入与走私1

主要弱点

• 反射型 XSS17
• IDOR17
• 跨站请求伪造12
• 存储型 XSS9
• 访问控制缺陷（通用）8
• 信息泄露7
• 授权不当4
• Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)4
• DOM 型 XSS4
• 隐私侵犯4

常见资产

• ads.tiktok.comURL · 35
• *.tiktok.comURL · 35
• tiktok.comURL · 10
• *.tiktokv.comURL · 8
• com.zhiliaoapp.musicallyGOOGLE_PLAY_APP_ID · 7
• · 6
• live-backstage.tiktok.comURL · 3
• partner.tiktokshop.comURL · 2
• www.pangleglobal.comURL · 2
• business.tiktok.comURL · 2

高票报告

当前状态 117 份 · 全部 117

1. 473
   Cross-Site-Scripting on www.tiktok.com and m.tiktok.com leading to Data Exfiltration跨站脚本 · 2020-11-20 · 高危
   $0反射型 XSS
2. 371
   Multiple bugs leads to RCE on TikTok for Android访问控制 · 2021-03-18 · 严重
   $0Improper Export of Android Application Components
3. 366
   [CSRF] TikTok Careers Portal Account Takeover跨站请求伪造 · 2020-12-15 · 高危
   $0跨站请求伪造
4. 356
   Reflected XSS in TikTok endpoints跨站脚本 · 2021-10-22 · 中危
   $0反射型 XSS
5. 312
   RCE on TikTok Ads Portal代码执行 · 2021-04-16 · 严重
   $0代码注入
6. 310
   Stored-XSS-ads.tiktok.com跨站脚本 · 2024-10-02 · 低危
   $0存储型 XSS
7. 219
   Incorrect authorization to the intelbot service leading to ticket information身份认证 · 2022-02-23 · 严重
   $15,000认证缺陷（通用）
8. 216
   IDOR delete any Tickets on ads.tiktok.com不安全的直接对象引用 · 2022-03-03 · 高危
   $0IDOR
9. 201
   Stored XSS on TikTok Ads跨站脚本 · 2022-08-19 · 中危
   $0DOM 型 XSS
10. 198
    Blocked user can see live video信息泄露 · 2021-05-28 · 中危
    $418隐私侵犯
11. 196
    Reflected XSS on Pangle Endpoint跨站脚本 · 2024-04-05 · 高危
    $5,000反射型 XSS
12. 194
    TikTok 2FA Bypass访问控制 · 2023-02-03 · 中危
    $1,564授权不当
13. 172
    Account Takeover via Authentication Bypass in TikTok Account Recovery身份认证 · 2024-07-13 · 严重
    $12,000Authentication Bypass Using an Alternate Path or Channel
14. 167
    Unauthorized Access to TikTok Account [Private Videos] via API Endpoint不安全的直接对象引用 · 2025-01-25 · 中危
    $0IDOR
15. 162
    External SSRF and Local File Read via video upload due to vulnerable FFmpeg HLS processing服务端请求伪造 · 2021-02-16 · 高危
    $2,727SSRF
16. 159
    HTML Injection on TikTok Ads跨站脚本 · 2024-02-21 · 低危
    $0Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
17. 140
    DOM XSS in tiktok.com/login via the redirect_url parameter跨站脚本 · 2024-09-21 · 高危
    $0DOM 型 XSS
18. 131
    IDOR on ads.tiktok.com Allows Unauthorized Product Addition不安全的直接对象引用 · 2025-02-21 · 低危
    $500IDOR
19. 129
    Exploitable live argument in onClick Function leads to Data Leakage of Inactive/Suspended Products业务逻辑 · 2024-07-20 · 中危
    $1,000业务逻辑错误
20. 123
    Reflected Cross-site Scripting (XSS) at https://www.tiktok.com/跨站脚本 · 2023-06-03 · 高危
    $0反射型 XSS
21. 123
    IDOR for changing privacy settings on any memories不安全的直接对象引用 · 2023-01-28 · 高危
    $0IDOR
22. 118
    Unrestricted File Upload on https://partner.tiktokshop.com/wsos_v2/oec_partner/upload代码执行 · 2023-04-13 · 中危
    $0危险文件上传
23. 112
    Reflected xss on ads.tiktok.com using `from` parameter.跨站脚本 · 2022-02-09 · 高危
    $0反射型 XSS
24. 109
    IDOR on TikTok Ads Endpoint不安全的直接对象引用 · 2022-09-02 · 中危
    $0IDOR
25. 107
    Multiple IDORs in family pairing api不安全的直接对象引用 · 2022-05-07 · 高危
    $0IDOR