VK.com

VK.com 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露40
• 跨站脚本34
• 其他弱点29
• 跨站请求伪造17
• 访问控制11
• 身份认证9
• 业务逻辑7
• 代码执行5
• 开放重定向5
• 错误配置4
• 注入与走私3
• SQL 注入2
• 服务端请求伪造2
• 路径遍历1
• 内存破坏1
• 不安全的直接对象引用1
• 密码学缺陷1

主要弱点

• 信息泄露31
• Unlabeled29
• 跨站请求伪造17
• 存储型 XSS12
• 权限提升9
• XSS（通用）8
• 反射型 XSS8
• 认证缺陷（通用）8
• DOM 型 XSS6
• 隐私侵犯6

常见资产

• · 146
• *.vk.comWILDCARD · 20
• com.vkontakte.androidGOOGLE_PLAY_APP_ID · 2
• *.vkpay.ioWILDCARD · 2
• *.vk.linkWILDCARD · 1
• 564177498APPLE_STORE_APP_ID · 1

高票报告

当前状态 172 份 · 全部 172

1. 30
   CSRF на загрузку аудиозаписей跨站请求伪造 · 2021-11-06 · 中危
   $100跨站请求伪造
2. 29
   XSS в колбек апи в сообществах跨站脚本 · 2018-02-25 · 未评级
   $500DOM 型 XSS
3. 28
   Open Redirect и подмена ссылки в сниппете приложения VKMA开放重定向 · 2021-04-09 · 低危
   $300开放重定向
4. 28
   Доступ к администраторским faq信息泄露 · 2018-09-02 · 高危
   $500信息泄露
5. 27
   XSS in vk.link跨站脚本 · 2020-12-10 · 低危
   $300DOM 型 XSS
6. 27
   Уязвимость в методе auth.restore其他弱点 · 2020-12-10 · 未评级
   $0Unlabeled
7. 25
   Просмотр закрытых фотографий信息泄露 · 2021-12-15 · 高危
   $500信息泄露
8. 25
   Reflected XSS в /al_audio.php跨站脚本 · 2018-05-23 · 高危
   $700反射型 XSS
9. 24
   Уязвимый класс WebView其他弱点 · 2018-12-31 · 中危
   $200Unlabeled
10. 23
    CSRF на установку своей почты к аккаунту.跨站请求伪造 · 2021-05-23 · 严重
    $0跨站请求伪造
11. 23
    XSS в личных сообщениях跨站脚本 · 2017-11-27 · 高危
    $0存储型 XSS
12. 22
    Смотрим фотографии из частных/закрытых групп.信息泄露 · 2018-04-26 · 高危
    $500信息泄露
13. 21
    Reflected xss в m.vk.com/chatjoin跨站脚本 · 2021-11-06 · 中危
    $500反射型 XSS
14. 21
    Просмотр любых записей на стене信息泄露 · 2018-06-18 · 高危
    $700信息泄露
15. 21
    Reflected XSS в m.vk.com其他弱点 · 2021-11-06 · 高危
    $500Unlabeled
16. 21
    Обход 2ух-шаговой авторизации / 2FA Bypass身份认证 · 2017-04-12 · 未评级
    $1,000认证缺陷（通用）
17. 20
    Member still able close another user poll on communities topic身份认证 · 2021-04-27 · 未评级
    $0认证缺陷（通用）
18. 20
    ПРОСМОТР ЛЮБЫХ ПРИВАТНЫХ ФОТО + ПРЕВЬЮ ЛЮБОГО ПРИВАТНОГО ВИДЕО.其他弱点 · 2018-04-26 · 严重
    $700Unlabeled
19. 20
    Общий CSRF токен для сообщений сообществ, или как подставить соседа-редактора业务逻辑 · 2018-07-06 · 中危
    $300业务逻辑错误
20. 19
    XSS в выборе товара.其他弱点 · 2021-12-01 · 低危
    $500Unlabeled
21. 19
    Получение стикеров业务逻辑 · 2021-01-12 · 低危
    $200业务逻辑错误
22. 19
    Stored xss в /lead_forms_app.php跨站脚本 · 2017-11-28 · 高危
    $500存储型 XSS
23. 19
    Уязвимость дает возможность видеть записи , которые предлагаются пабликам + еще跨站请求伪造 · 2018-07-01 · 低危
    $300跨站请求伪造
24. 18
    Баг с оплатой подписки其他弱点 · 2021-12-27 · 中危
    $300Unlabeled
25. 18
    Open redirect в карусели сообщения бота开放重定向 · 2021-06-25 · 低危
    $300开放重定向