Uber

Uber 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露51
• 跨站脚本49
• 身份认证40
• 错误配置15
• 代码执行11
• 访问控制11
• 其他弱点10
• 跨站请求伪造9
• 业务逻辑8
• 拒绝服务7
• SQL 注入7
• 不安全的直接对象引用6
• 开放重定向5
• 密码学缺陷4
• 服务端请求伪造3
• 注入与走私1
• 内存破坏1
• 路径遍历1

主要弱点

• 信息泄露40
• 认证缺陷（通用）35
• XSS（通用）29
• 违反安全设计原则（按标题归类）14
• 反射型 XSS11
• Unlabeled10
• 跨站请求伪造9
• 权限提升8
• 代码注入7
• 资源消耗失控7

常见资产

• · 234
• Uber AssetsOTHER · 5

高票报告

当前状态 22 份 · 全部 239

1. 18
   Multiple Vulnerabilities (Including SQLi) in love.uber.com其他弱点 · 2016-06-14 · 未评级
   $0Unlabeled
2. 10
   Bruteforce INVITE codes easy way错误配置 · 2016-07-26 · 未评级
   $0违反安全设计原则（按标题归类）
3. 7
   The Microsoft Store Uber App Does Not Implement Certificate Pinning密码学缺陷 · 2017-12-25 · 严重
   $0证书校验不当
4. 5
   muber-id Query Parameter Can Generate SSL-protected Reflected XSS in https://m.uber.com/0-dfffb25d2cf6ceeb0a27.js Endpoint跨站脚本 · 2017-12-26 · 严重
   $0反射型 XSS
5. 5
   Use Partner/Driver App Without Being Activated身份认证 · 2016-06-15 · 未评级
   $0认证缺陷（通用）
6. 5
   Self-XSS Vulnerability on Password Reset Form跨站脚本 · 2016-06-14 · 未评级
   $0XSS（通用）
7. 4
   XSS in people.uber.com跨站脚本 · 2016-07-26 · 未评级
   $0XSS（通用）
8. 3
   udi-id Query Parameter Can Generate SSL-protected Reflected XSS in https://m.uber.com/0-dfffb25d2cf6ceeb0a27.js Endpoint跨站脚本 · 2017-12-26 · 严重
   $0反射型 XSS
9. 3
   lite:sess Query Parameter Can Generate SSL-protected Reflected XSS in https://m.uber.com/0-dfffb25d2cf6ceeb0a27.js Endpoint跨站脚本 · 2017-12-26 · 严重
   $0反射型 XSS
10. 3
    SSL-protected Reflected XSS in https://m.uber.com/0-dfffb25d2cf6ceeb0a27.js Endpoint跨站脚本 · 2017-12-26 · 严重
    $0反射型 XSS
11. 3
    SSL-protected Reflected XSS in https://m.uber.com/0-dfffb25d2cf6ceeb0a27.js Endpoint跨站脚本 · 2017-12-26 · 严重
    $0反射型 XSS
12. 3
    SSL-protected Reflected XSS in m.uber.com跨站脚本 · 2017-12-26 · 严重
    $0反射型 XSS
13. 3
    Uber password reset link EMAIL FLOOD拒绝服务 · 2016-06-14 · 未评级
    $0资源消耗失控
14. 3
    CRLF Injection in developer.uber.com注入与走私 · 2016-05-10 · 未评级
    $0Unlabeled
15. 3
    Unauthorized file (invoice) download身份认证 · 2016-06-16 · 未评级
    $0认证缺陷（通用）
16. 2
    User credentials are not strong on vault.uber.com身份认证 · 2016-07-26 · 未评级
    $0认证缺陷（通用）
17. 2
    Enumerating userIDs with phone numbers信息泄露 · 2016-06-12 · 未评级
    $0信息泄露
18. 2
    Session retention is present which reveals the customer info身份认证 · 2016-05-10 · 未评级
    $0认证缺陷（通用）
19. 1
    Self-XSS in Partners Profile跨站脚本 · 2016-07-08 · 未评级
    $0XSS（通用）
20. 1
    CrashPlan Backup is Vulnerable Allowing to a DoS Attack Against Uber's Backups to ```backup.uber.com```其他弱点 · 2016-05-10 · 未评级
    $0Unlabeled
21. 1
    SMS Flood with Update Profile拒绝服务 · 2016-06-14 · 未评级
    $0资源消耗失控
22. 1
    XSS on love.uber.com跨站脚本 · 2016-05-10 · 未评级
    $0XSS（通用）