Resultados para “enumeracion”
5 resultado(s)
Essity: más de 120.000 emails de clientes expuestos en un programa de fidelización WordPress vía ?author=N
Un WordPress de fidelización de una marca italiana de Essity mostraba sin autenticación el email de casi todos sus 123.000 usuarios: el nombre visible era el correo y se podía enumerar por ID con /?author=N.
4 min
Django delataba qué usuarios existen: ataque de tiempos en la autenticación de Apache con mod_wsgi
check_password en el manejador mod_wsgi de Django contestaba al instante si el usuario no existía y tardaba cientos de milisegundos si existía. Midiendo esa diferencia, un atacante podía descubrir cuentas válidas.
4 min
AWS S3 Tables: 23 endpoints de no producción permitían enumerar permisos IAM sin dejar rastro en CloudTrail
Varios endpoints internos de S3 Tables aceptaban credenciales IAM normales y respondían distinto según los permisos, pero no registraban nada en CloudTrail. Un atacante con credenciales robadas podía averiguar a qué tenía acceso sin ser visto.
4 min
Nextcloud Mail: el autocompletado de contactos se salta las restricciones de enumeración de usuarios
El autocompletado de contactos de Nextcloud Mail ignoraba la opción que limita la búsqueda de cuentas al propio grupo, y cualquier usuario autenticado podía listar ID, nombre y email de usuarios de otros grupos.
2 min
Saltarse la privacidad de Twitter para relacionar teléfonos y correos con cuentas
El flujo de login del cliente Android devolvía el ID de una cuenta a partir de su teléfono o email aunque el usuario hubiera desactivado esa opción; es el fallo detrás de la filtración de millones de cuentas.
2 min