UPchieve

UPchieve 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 错误配置9
• 身份认证7
• 信息泄露6
• 访问控制3
• 业务逻辑3
• 其他弱点3
• 内存破坏2
• 密码学缺陷2
• SQL 注入1
• 跨站请求伪造1
• 开放重定向1

主要弱点

• 点击劫持4
• 错误配置4
• Unlabeled4
• 访问控制缺陷（通用）3
• 认证尝试次数未限制2
• 违反安全设计原则（按标题归类）2
• Unlabeled2
• 敏感信息不安全存储2
• 信息泄露1
• 密码学问题（通用）1

常见资产

• hackers.upchieve.orgURL · 17
• app.upchieve.orgURL · 12
• argocd.upchieve.orgURL · 5
• · 3
• https://gitlab.com/upchieve/subwaySOURCE_CODE · 1

高票报告

当前状态 38 份 · 全部 38

1. 66
   User enumeration through forget password其他弱点 · 2021-05-16 · 高危
   $0Unlabeled
2. 54
   Full account takeover of any user through reset password访问控制 · 2021-05-15 · 严重
   $0访问控制缺陷（通用）
3. 37
   Zero click account Takeover due to Api misconfiguration 🏂🎩访问控制 · 2021-05-15 · 严重
   $0访问控制缺陷（通用）
4. 28
   Password reset token leak on third party website via Referer header信息泄露 · 2021-08-10 · 中危
   $0Storing Passwords in a Recoverable Format
5. 21
   Session Hijacking leads to full control of account by attacker身份认证 · 2021-06-25 · 低危
   $0Unlabeled
6. 20
   Hyper Link Injection while signup其他弱点 · 2022-06-15 · 低危
   $0输入校验不当
7. 17
   Widespread CSRF on authenticated POST endpoints跨站请求伪造 · 2022-02-13 · 高危
   $0跨站请求伪造
8. 17
   old session dose not expire after password change身份认证 · 2021-08-31 · 低危
   $0Unlabeled
9. 16
   All user password hash can be seen from admin panel信息泄露 · 2022-06-12 · 中危
   $0敏感信息不安全存储
10. 15
    Cross-origin resource sharing misconfig | steal user information信息泄露 · 2021-06-16 · 高危
    $0信息泄露
11. 13
    No Rate Limit On Contact Us身份认证 · 2021-08-28 · 低危
    $0认证尝试次数未限制
12. 12
    Postgres Admin Username and Password in Plain text信息泄露 · 2026-01-07 · 低危
    $0敏感信息不安全存储
13. 12
    Password reset token leakage错误配置 · 2022-03-27 · 高危
    $0错误配置
14. 12
    No Rate Limiting on /reset-password-request/ endpoint业务逻辑 · 2021-10-04 · 中危
    $0违反安全设计原则（按标题归类）
15. 12
    No Rate Limit On Reset Password业务逻辑 · 2021-08-31 · 低危
    $0违反安全设计原则（按标题归类）
16. 10
    CORS Misconfiguration, could lead to disclosure of sensitive information内存破坏 · 2021-06-10 · 中危
    $0Wrap-around Error
17. 9
    Business logic error业务逻辑 · 2021-08-12 · 低危
    $0业务逻辑错误
18. 9
    Failed to validate Session after Password Change身份认证 · 2021-08-31 · 低危
    $0会话过期不足
19. 8
    Authentication Bypass - Email Verification code bypass in account registration process.身份认证 · 2021-12-08 · 严重
    $0Unlabeled
20. 8
    No Valid SPF Records/don't have DMARC record访问控制 · 2021-05-19 · 严重
    $0访问控制缺陷（通用）
21. 6
    Password Reuse错误配置 · 2022-03-27 · 中危
    $0错误配置
22. 5
    CORS origin validation failure其他弱点 · 2021-12-08 · 中危
    $0Unlabeled
23. 5
    OTP reflecting in response sensitive data exposure leads to account take over信息泄露 · 2022-03-27 · 严重
    $0Unlabeled
24. 5
    No Rate Limit on forgot password page身份认证 · 2022-03-27 · 中危
    $0认证尝试次数未限制
25. 5
    url redirection开放重定向 · 2021-07-30 · 严重
    $0开放重定向