Uber

Uber 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露51
• 跨站脚本49
• 身份认证40
• 错误配置15
• 代码执行11
• 访问控制11
• 其他弱点10
• 跨站请求伪造9
• 业务逻辑8
• 拒绝服务7
• SQL 注入7
• 不安全的直接对象引用6
• 开放重定向5
• 密码学缺陷4
• 服务端请求伪造3
• 注入与走私1
• 内存破坏1
• 路径遍历1

主要弱点

• 信息泄露40
• 认证缺陷（通用）35
• XSS（通用）29
• 违反安全设计原则（按标题归类）14
• 反射型 XSS11
• Unlabeled10
• 跨站请求伪造9
• 权限提升8
• 代码注入7
• 资源消耗失控7

常见资产

• · 234
• Uber AssetsOTHER · 5

高票报告

当前状态 49 份 · 全部 239

1. 13
   Server version disclosure信息泄露 · 2016-07-08 · 未评级
   $0信息泄露
2. 8
   Google Maps API Key Leakage信息泄露 · 2021-09-04 · 低危
   $0信息泄露
3. 8
   stack trace exposed on https://receipts.uber.com/信息泄露 · 2021-02-26 · 中危
   $0信息泄露
4. 8
   Can add employee in business.uber.com without add payment method身份认证 · 2016-07-26 · 未评级
   $0认证缺陷（通用）
5. 7
   It's possible to view configuration and/or source code on uchat.awscorp.uberinternal.com without身份认证 · 2017-12-26 · 中危
   $0认证缺陷（通用）
6. 6
   Configuration and/or source code files on uchat-staging.uberinternal.com can be viewed without OneLogin SSO Authentication身份认证 · 2017-12-26 · 中危
   $0认证缺陷（通用）
7. 6
   Stored Cross Site Scripting [SELF] in partners.uber.com跨站脚本 · 2016-06-14 · 未评级
   $0XSS（通用）
8. 5
   The Uber Promo Customer Endpoint Does Not Implement Multifactor Authentication, Blacklisting or Rate Limiting身份认证 · 2017-12-25 · 高危
   $0认证尝试次数未限制
9. 5
   Email Address Enumeration错误配置 · 2016-07-08 · 未评级
   $0违反安全设计原则（按标题归类）
10. 5
    Password Reset Does Not Confirm the Existence of an Email Address身份认证 · 2016-06-08 · 未评级
    $0认证缺陷（通用）
11. 5
    Defect-Security | Driver-Broken Authentication | Able to update the Subscription Setting anonymously身份认证 · 2016-07-26 · 未评级
    $0认证缺陷（通用）
12. 5
    XSS in uber oauth跨站脚本 · 2016-07-26 · 未评级
    $0XSS（通用）
13. 4
    Authentication Issue for easter egg on bonjour.uber.com身份认证 · 2016-07-08 · 未评级
    $0认证缺陷（通用）
14. 4
    Header Injection拒绝服务 · 2016-07-08 · 未评级
    $0资源消耗失控
15. 4
    Missing authentication on Notification setting .身份认证 · 2016-07-26 · 未评级
    $0认证缺陷（通用）
16. 4
    XSS via password recovering跨站脚本 · 2016-07-26 · 未评级
    $0XSS（通用）
17. 4
    Disclosure of ways to the site root信息泄露 · 2016-06-14 · 未评级
    $0信息泄露
18. 4
    text injection in get.uber.com/check-otp其他弱点 · 2016-09-16 · 未评级
    $0Unlabeled
19. 4
    LIsting of http://archive.uber.com/pypi/simple/信息泄露 · 2016-03-25 · 未评级
    $0信息泄露
20. 3
    The Microsoft Store Uber App Does Not Implement Server-side Token Revocation身份认证 · 2017-12-25 · 中危
    $0会话过期不足
21. 3
    Text Only Content Spoofing on ubermovement.com Community Page错误配置 · 2016-07-26 · 未评级
    $0违反安全设计原则（按标题归类）
22. 3
    Newsroom.uber HTML form without CSRF protection跨站请求伪造 · 2016-07-08 · 未评级
    $0跨站请求伪造
23. 3
    Email Enumeration Vulnerability其他弱点 · 2016-07-08 · 未评级
    $0Unlabeled
24. 3
    Phone Number Enumeration信息泄露 · 2016-07-08 · 未评级
    $0信息泄露
25. 3
    Self-XSS on partners.uber.com跨站脚本 · 2016-07-26 · 未评级
    $0XSS（通用）