POJIA破甲
地图 / Twitter Source Label allow 'mongolian vowel separator' U+180E (app name)

Twitter Source Label allow 'mongolian vowel separator' U+180E (app name)

其他弱点 / 钓鱼 / #785243

厂商
X / xAI
严重程度
低危
赏金
—
弱点
钓鱼
研究员
@lorenznickel
披露日期
2020-02-21
资产
*.twitter.com
CVE
—

该报告还没有中文解读。

原文摘录

摘自原文(5207 字符中的一小部分)
**Summary:** Twitter app-names (which are shown in the Tweet source label) are supposed to be unique and because of that they must not include invisible unicode characters. However, you can use the mongolian vowel separator in these app-name, which allows to fake a app-name.

默认不展示报告全文。以上为简短摘录,完整复现过程请阅读原文。版权归研究员与 X / xAI 所有。

时间线

  • 报告提交
  • 公开披露
阅读 HackerOne 原文 ↗作者 @lorenznickel · 版权归作者与 X / xAI 所有

同类报告

URL link spoofingSlack · 2020-04-26 · $250Github Account hijack through broken link in developer.twitter.comX / xAI · 2021-02-04Subdomain Takeover on demo.greenhouse.io pointing to unbouncepagesGreenhouse.io · 2020-03-05Domain Takeover [3737signals.com]Basecamp · 2021-08-13Login CSRF : Login Authentication Flaw on https://liberapay.com/Liberapay · 2021-04-05account impersonate through broken linkQIWI · —