HMAC signature verification omits endpoint and payload allowing request forgery on CoinMate API
密码学缺陷 / Missing Required Cryptographic Step / #3670955
该报告还没有中文解读。
原文摘录
摘自原文（6825 字符中的一小部分）
ZERO-DAY VULNERABILITY REPORT **Asset:** `coinmate.io` (Core REST API - https://coinmate.io/api) **Vulnerability Type:** CWE-325 (Missing Required Cryptographic Step) / CWE-345 (Payload Malleability & Request Forgery) **Severity Category:** High (CVSS v3.0: 8.1 - AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N)
原文中的代码
[Victim Device] -----> (Initiates: POST /api/balances with Signature X & Nonce 1) -----> [Attacker]
|
[Attacker DROPS the packet] …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 CoinMate.io 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @glferreira-devsecops · 版权归作者与 CoinMate.io 所有