U.S. Department of State

U.S. Department of State 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本3
• 访问控制2
• 不安全的直接对象引用1
• 信息泄露1
• SQL 注入1
• 服务端请求伪造1

主要弱点

• 访问控制缺陷（通用）2
• Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)2
• IDOR1
• SSRF1
• SQL 注入1
• 信息泄露1
• 反射型 XSS1

常见资产

• *.STATE.GOVWILDCARD · 6
• · 1
• https://github.com/USStateDeptSOURCE_CODE · 1
• *.REWARDSFORJUSTICE.NETWILDCARD · 1

高票报告

当前状态 9 份 · 全部 9

1. 64
   Time Based SQL InjectionSQL 注入 · 2023-04-21 · 严重
   $0SQL 注入
2. 44
   Accessing unauthorized administration pages and seeing admin password - speakerkit.state.gov访问控制 · 2023-03-25 · 高危
   $0访问控制缺陷（通用）
3. 40
   IDOR in TalentMAP API can be abused to enumerate personal information of all the users不安全的直接对象引用 · 2023-04-11 · 高危
   $0IDOR
4. 30
   RXSS on https://travel.state.gov/content/travel/en/search.html跨站脚本 · 2023-03-08 · 中危
   $0反射型 XSS
5. 23
   xss and html injection on ( https://labs.history.state.gov)跨站脚本 · 2023-02-20 · 中危
   $0Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
6. 21
   Bypassing Whitelist to perform SSRF for internal host scanning服务端请求伪造 · 2023-03-25 · 低危
   $0SSRF
7. 16
   LDAP anonymous access enabled at certrep.pki.state.gov:389访问控制 · 2023-05-12 · 中危
   $0访问控制缺陷（通用）
8. 16
   HTML INJECTION on coins.state.gov跨站脚本 · 2023-04-27 · 低危
   $0Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
9. 13
   Impact of Using the PHP Function "phpinfo()" on System Security - PHP info page disclosure信息泄露 · 2023-05-19 · 低危
   $0信息泄露