WakaTime

WakaTime 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 身份认证17
• 信息泄露12
• 错误配置11
• 访问控制8
• 业务逻辑5
• 其他弱点3
• 不安全的直接对象引用2
• 跨站请求伪造2
• 代码执行1
• 开放重定向1
• 跨站脚本1

主要弱点

• 认证缺陷（通用）10
• 违反安全设计原则（按标题归类）9
• 信息泄露9
• 访问控制缺陷（通用）5
• Weak Password Recovery Mechanism for Forgotten Password3
• 权限提升3
• Unlabeled3
• 跨站请求伪造2
• IDOR2
• 业务逻辑错误2

常见资产

• · 52
• wakatime.comURL · 11

高票报告

当前状态 63 份 · 全部 63

1. 126
   IDOR to view order information of users and personal information不安全的直接对象引用 · 2024-06-02 · 未评级
   $0IDOR
2. 93
   Unauthorized Disclosure of Private Emails via WakaTime Private Leaderboards信息泄露 · 2025-08-03 · 中危
   $0信息泄露
3. 77
   Leaked credentials ( emails and passwords , etc...)信息泄露 · 2025-04-16 · 低危
   $0信息泄露
4. 74
   Login Information and Credentials Have Been Leaked on wakatime.com信息泄露 · 2025-04-13 · 低危
   $0信息泄露
5. 73
   User Email Disclosure via ID-Based Invitation信息泄露 · 2025-02-22 · 中危
   $0信息泄露
6. 65
   user api key leaked信息泄露 · 2025-05-13 · 低危
   $0信息泄露
7. 57
   Double Clickjacking Attack on WakaTime OAuth Authorization Flow at https://wakatime.com/oauth/authorize身份认证 · 2025-08-06 · 中危
   $0违反安全设计原则（按标题归类）
8. 57
   Broken Access Control Exposes Email Verification Status and Privacy Settings via API Endpoint访问控制 · 2025-04-29 · 低危
   $0访问控制缺陷（通用）
9. 54
   Session Replay Attack Allows Authentication Bypass via Captured Login Responses Allowing Bypass of 429 Too many attempts for Multiple Failed Logins身份认证 · 2025-05-02 · 高危
   $0认证缺陷（通用）
10. 40
    Not a Vuln: Race Condition Allows Creation of Multiple Organizations with the Same Name业务逻辑 · 2025-07-14 · 低危
    $0业务逻辑错误
11. 35
    previous token seems to work even though it does not verify email信息泄露 · 2019-11-27 · 低危
    $0违反安全设计原则（按标题归类）
12. 34
    JSON CSRF on POST Heartbeats API跨站请求伪造 · 2017-07-03 · 中危
    $0跨站请求伪造
13. 26
    Invalid访问控制 · 2025-08-20 · 低危
    $0访问控制缺陷（通用）
14. 24
    Add arbitrary content to Password Reset Email代码执行 · 2017-07-20 · 未评级
    $0代码注入
15. 15
    IDOR create accounts and verify them with original account email不安全的直接对象引用 · 2017-07-03 · 低危
    $0IDOR
16. 14
    Vulnerability Name: Host Header Injection Redirect开放重定向 · 2019-09-03 · 低危
    $0开放重定向
17. 14
    Password Policy Issue身份认证 · 2017-07-06 · 低危
    $0认证缺陷（通用）
18. 14
    [Privilege Escalation] Authenticated users can manipulate others fullname without their knowledge访问控制 · 2017-08-10 · 中危
    $0权限提升
19. 14
    Email Spoofing Via /api/v1/users/reset_password其他弱点 · 2017-07-02 · 未评级
    $0Unlabeled
20. 12
    by pass rate limit exceed访问控制 · 2017-07-11 · 未评级
    $0访问控制缺陷（通用）
21. 12
    [Privilege Escalation] Authenticated users can manipulate others fullname without their knowledge [Team Vector]访问控制 · 2017-08-10 · 中危
    $0权限提升
22. 12
    Password reset links should expire after being used, instead of at specific time身份认证 · 2017-07-24 · 中危
    $0认证缺陷（通用）
23. 11
    Using an outdated version of OpenSSH on db01.wakatime.com信息泄露 · 2017-10-29 · 低危
    $0信息泄露
24. 10
    Two email addresses can access the same account错误配置 · 2017-07-03 · 未评级
    $0违反安全设计原则（按标题归类）
25. 10
    No rate limit when creating new goals [https://wakatime.com/goals]业务逻辑 · 2017-07-03 · 未评级
    $0违反安全设计原则（按标题归类）