이메일 / 사용자 이름 열거

Writer M0X0101 Program 버그캠프 (Bugcamp)

WEB Not applicable Medium No Reward Created: Aug 24, 2022 (2 years ago) Last Updated: Aug 29, 2022 (2 years ago)

Weakness

이메일 / 사용자 이름 열거

Description

개요

가입 페이지에서 이메일 열거

재현 과정

[취약점 재현을 하기 위한 과정을 서술해 주세요]

  1. 이동
  2. 존재하는 이메일 넣기
  3. PIC POC에서와 같이 오류가 발생합니다.

예상되는 취약점 발생 원인

사용자의 이메일이 유출됩니다. / 정보의 공개.
공격자는 두 응답(성공 및 실패)을 비교하고 대규모로 사용자의 전자 메일을 열거할 수 있습니다.

패치 방법

더 나은 보안 방법은 이미 계정이 있는지 여부에 관계없이 이메일에 대한 링크를 보냈다고 말하는 것입니다.
메시지를 표시해야합니다 : 이미 등록되어 있고 다른 프로세스가 완료되면 전자 메일 메시지에 “누군가 해당 전자 메일 주소로 가입하려고 시도했습니다. 그렇다면 로그인하십시오.”

예상 결과 및 파급력

사용자의 이메일이 유출됩니다. / 정보의 공개.

기타사항 및 레퍼런스

참조
https://hackerone.com/reports/666722
https://hackerone.com/reports/47627

Attachment

bugcamp_email_enumoration.PNG

Timeline

M0X0101 submitted ticket. August 24, 2022 (2 years ago)
Steve MANAGER changed the status from 'Submitted' to 'Not applicable'. August 25, 2022 (2 years ago)
Steve MANAGER posted a comment. August 25, 2022 (2 years ago)

해당 티켓은 프로그램 규칙의 포상에서 제외되는 경우에 명시된 일부 항목에 부합하여 종료됨(무효) 로 분류됩니다.

  • 무작위 대입 공격
  • 취약점 개념 증명 코드(PoC)를 포함하지 않은 제보
  • 위협 가능성만을 제시하는 제보(e.g. 패스워드 복잡도 미흡, 서버 정보 노출 등)

프로그램 규칙을 확인 후 버그바운티 활동에 참여해주시면 감사드리겠습니다.

M0X0101 posted a comment. August 26, 2022 (2 years ago)

Hi team, what is the problem in the report…?
The bug isn’t out of scope and it’s valid and i sent the steps and POC for it
Can you explain why its closed as invalid…?

M0X0101 posted a comment. August 26, 2022 (2 years ago)

Hi team, what is the problem in the report…?
The bug isn’t out of scope and it’s valid and i sent the steps and POC for it
Can you explain why its closed as invalid…?

Jerry BUGCAMP STAFF changed the disclosure from 'Closed' to 'Disclosed (Full)'. August 29, 2022 (2 years ago)
Jerry BUGCAMP STAFF posted a comment. August 29, 2022 (2 years ago)

The reported issue requires a brute force attack.
And we judged that the possibility of this tip being misused by attackers is very low.

Unfortunately, it is evaluated as invalid according to the policy.
Please note that the program policy.