Vimeo

Vimeo 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本17
• 访问控制13
• 身份认证10
• 跨站请求伪造7
• 信息泄露7
• 错误配置7
• 业务逻辑3
• 密码学缺陷2
• 其他弱点2
• 开放重定向1
• 服务端请求伪造1
• 注入与走私1

主要弱点

• XSS（通用）17
• 权限提升12
• 认证缺陷（通用）9
• 跨站请求伪造7
• 违反安全设计原则（按标题归类）7
• 信息泄露7
• 密码学问题（通用）2
• Unlabeled2
• Unlabeled2
• 开放重定向1

常见资产

• · 67
• www.vimeo.comURL · 2
• api.vimeo.comURL · 1
• embed.vhx.tvURL · 1

高票报告

当前状态 62 份 · 全部 71

1. 276
   SSRF leaking internal google cloud data through upload function [SSH Keys, etc..]服务端请求伪造 · 2019-12-14 · 严重
   $0SSRF
2. 77
   Domain pointing to vimeo portfolio are prone to takeover using on-demand.业务逻辑 · 2018-08-27 · 高危
   $0业务逻辑错误
3. 76
   Possibility to overwrite any file in the vpe.cdn.vimeo.tv leads to the Stored XSS for the all customers on the embed.vhx.tv访问控制 · 2019-07-11 · 高危
   $0访问控制缺陷（通用）
4. 64
   Improper Authentication in Vimeo's API 'versions' endpoint.身份认证 · 2018-05-16 · 高危
   $0认证缺陷（通用）
5. 60
   Reflected File Download (RFD) in download video其他弱点 · 2019-08-23 · 中危
   $0Unlabeled
6. 44
   Watch any Password Video without password信息泄露 · 2017-10-18 · 未评级
   $0信息泄露
7. 43
   Downloading password protected / restricted videos其他弱点 · 2016-09-05 · 未评级
   $0Unlabeled
8. 35
   All Vimeo Private videos disclosure via Authorization Bypass信息泄露 · 2016-07-29 · 未评级
   $0信息泄露
9. 33
   Make API calls on behalf of another user (CSRF protection bypass)跨站请求伪造 · 2015-01-23 · 未评级
   $0跨站请求伪造
10. 33
    Vimeo.com Insecure Direct Object References Reset Password身份认证 · 2015-02-26 · 未评级
    $0认证缺陷（通用）
11. 32
    OAuth 2 Authorization Bypass via CSRF and Cross Site Flashing跨站请求伪造 · 2017-10-18 · 未评级
    $0跨站请求伪造
12. 27
    Disclosure of sensitive information through Google Cloud Storage bucket信息泄露 · 2017-09-30 · 高危
    $0信息泄露
13. 19
    XSS on vimeo.com/home after other user follows you跨站脚本 · 2017-08-31 · 未评级
    $0XSS（通用）
14. 17
    Images and Subtitles Leakage from private videos信息泄露 · 2017-10-18 · 未评级
    $0信息泄露
15. 15
    CSRF on Vimeo via cross site flashing leading to info disclosure and private videos go public跨站请求伪造 · 2016-07-29 · 未评级
    $0跨站请求伪造
16. 14
    URGENT - Subdomain Takeover on status.vimeo.com due to unclaimed domain pointing to statuspage.io跨站请求伪造 · 2015-04-18 · 未评级
    $0跨站请求伪造
17. 11
    Stored XSS on player.vimeo.com跨站脚本 · 2017-08-31 · 未评级
    $0XSS（通用）
18. 11
    Securing "Reset password" pages from bots错误配置 · 2017-01-31 · 未评级
    $0违反安全设计原则（按标题归类）
19. 10
    [vimeopro.com] CRLF Injection注入与走私 · 2016-10-25 · 未评级
    $0Unlabeled
20. 8
    XSS when using captions/subtitles on video player based on Flash (requires user interaction)跨站脚本 · 2017-08-31 · 未评级
    $0XSS（通用）
21. 8
    XSS on vimeo.com | "Search within these results" feature (requires user interaction)跨站脚本 · 2017-08-31 · 未评级
    $0XSS（通用）
22. 8
    API: missing invalidation of OAuth2 Authorization Code during access revocation causes authorization bypass身份认证 · 2015-06-01 · 未评级
    $0认证缺陷（通用）
23. 8
    Application XSS filter function Bypass may allow Multiple stored XSS跨站脚本 · 2015-06-28 · 未评级
    $0XSS（通用）
24. 8
    Adding profile picture to anyone on Vimeo错误配置 · 2015-02-26 · 未评级
    $0违反安全设计原则（按标题归类）
25. 7
    XSS on mobile version of vimeo.com where the button "Follow" appears跨站脚本 · 2017-08-31 · 未评级
    $0XSS（通用）