地图 / The password recovery let users know whether an email address exists or not in the website

The password recovery let users know whether an email address exists or not in the website

身份认证 / 认证尝试次数未限制 / #681468

厂商: Nextcloud
严重程度: 未评级
赏金: —
弱点: 认证尝试次数未限制
研究员: @be1ca65b1f89b948ba751aed98e2e
披露日期: 2019-11-22
资产: apps.nextcloud.com
CVE: —

该报告还没有中文解读。

原文摘录

摘自原文（524 字符中的一小部分）

URL: https://apps.nextcloud.com/password/reset/

默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Nextcloud 所有。

时间线

2019-08-25报告提交
2019-11-22公开披露

阅读 HackerOne 原文 ↗作者 @be1ca65b1f89b948ba751aed98e2e · 版权归作者与 Nextcloud 所有

同类报告

Account Takeover worki.ruMail.ru · — · $1,700 Account TakeOver at my.33slona.ruMail.ru · — · $1,700 Account Takeover at vseapteki.ruMail.ru · — · $2,000 Account TakeOver through password recovery at am.ruMail.ru · — · $3,000 SMS Brute Force Possibility via https://youdrive.today/login/web/code can lead to Account TakeoverMail.ru · —Lack of rate limitation on careers site allows the attacker to brute force the verification codeTikTok · 2021-02-11