偵測

ActivityPub 使用者名稱列舉

medium Web App Scanning Plugin ID 113978

語系：

概要

ActivityPub 使用者名稱列舉

說明

在某些 ActivityPub WebFinger 實作中，可以使用萬用字元搜尋在 API webfinger 服務上列舉使用者名稱 (稱為執行者)。即使 ActivityPub 伺服器應用程式本身停用使用者清單和目錄，此資訊仍可能透過 api 端點洩漏個人設定檔位址、身分服務、電話號碼、虛擬人偶選取或其他資訊。

解決方案

例如，在使用 WAF 的伺服器上封鎖包含萬用字元 (*) 的 /.well-known/webfinger 端點要求。

另請參閱

https://docs.joinmastodon.org/spec/webfinger/

https://webfinger.net/

https://wordpress.org/plugins/webfinger/

Plugin 詳細資訊

嚴重性: Medium

ID: 113978

類型: remote

已發布: 2023/8/29

已更新: 2023/8/29

掃描範本: basic, full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 2.2

CVSS v2

風險因素: Medium

基本分數: 5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 5.3

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVSS 評分資料來源: Tenable

參考資訊