User Can Delete Other Users' Personal Access Tokens at /delete-token/{token_id}/ on Mozilla Pontoon
访问控制 / 访问控制缺陷（通用） / #3325582
该报告还没有中文解读。
原文摘录
摘自原文（3939 字符中的一小部分）
Hi team, while reviewing the Mozilla Pontoon source code, I have found that a new feature has been added to `Generate` and `Delete` Personal Access Tokens for the Rest API. To `Delete` a token, a user sends a `POST` request to `/delete-token/{token_id}/` endpoint with the numeric token ID. The …原文中的代码
POST /generate-token/ HTTP/1.1
Host: mozilla-pontoon-staging.herokuapp.com
Cookie: {your cookies here}
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:142.0) Gecko/20100101 Firefox/142.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Mozilla 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @adilnbabras · 版权归作者与 Mozilla 所有