搜索

[28702] 2020-12-28_星巴克移动平台上发现了一个RCE错误白帽获得美元奖励

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-19
2020-12-28_星巴克移动平台上发现了一个RCE错误白帽获得美元奖励 星 巴 克 移 动 平 台 上 发 现 了 一 个 R C E 错 误 白 帽 获 得 美 元 奖 励 T e o   E h c   O t s 安 全   2 0 2 0 - 1 2 - 2 8 星 巴 克 的 一 个 移 动 域 中 已 修 复 了 可 能 的 远 程 代 码 执 行 错 误 （ R C E ） 。 巨 型 美 国 咖 啡 公 司 正 在 H a c k e r O n e 上 运 行 赏 金 漏 洞 程 序 。 由 K a m i l “   k o 2 s e c ”   O n u r   k z k a l e l i 撰 写 的 新 漏 洞 报 告 于 1 1 月 5 日 首 次 提 交 并 于 1 2 月 9 日 发 布 ， 描 述 了 在 m o b i l e . s t a r b u c k s . c o m . s g （ 为 其 用 户 新 加 坡 的 平 台 ） 上 发 现 的 R C E 问 题 。 根 据 咨 询 ， k o 2 s e c 在 m o b i l e . s t a r b u c k s . c o m . s g 上 发 现 了 一 个 . a s h x 终 结 点 ， 用 于 处 理 文 件 i m a g e 。 但 是 ， 端 点 没 有 限 制 上 传 ， 这 意 味 着 入 侵 者 可 以 滥 用 此 问 题 ， 并 可 能 上 传 恶 意 文 件 并 远 程 执 行 任 意 代 码 。 尚 未 针 对 严 重 漏 洞 发 布 C V E ， 但 得 分 为 9 , 8 。 K o 2 s e c 的 成 立 日 获 得 了 5 . 6 0 0 美 元 。 R C E 并 不 是 唯 一 报 告 错 误 的 星 巴 克 研 究 人 员 。 去 年 1 0 月 ， K o 2 s e c 在 星 巴 克 新 加 坡 站 点 上 描 述 了 由 于 开 放 环 境 测 试 引 起 的 “ 帐 户 接 管 利 用 ”   。 如 果 用 户 知 道 他 们 的 电 子 邮 件 ， 则 可 以 定 位 用 户 以 查 看 其 个 性 数 据 ， 甚 至 可 以 使 用 钱 包 帐 户 中 加 载 的 任 何 金 额 进 行 市 场 交 易 。 该 漏 洞 猎 人 获 得 了 6 0 0 0 美 元 的 参 考 资 金 。 迄 今 为 止 ， 星 巴 克 在 H a c k e r O n e 中 已 收 到 1 0 6 8 个 漏 洞 报 告 。 有 效 提 交 的 平 均 费 用 从 2 5 0 美 元 到 3 7 5 美 元 不 等 ， 严 重 错 误 的 费 用 从 4 0 0 0 美 元 到 6 0 0 0 美 元 不 等 。 总 的 来 说 ， 咖 啡 连 锁 店 已 经 向 臭 虫 猎 手 支 付 了 超 过 6 4 0 . 0 0 0 美 元 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理