Hello there, ('ω')ノ
30 分間強盗: わずか数分で $1500 の賞金を獲得した方法を。
脆弱性：
アクセス制御の破損
ロジックの欠陥
記事：
論理的なバグを探すのが一番好きで。
それらは一意であり、重複する可能性が少ないからで。
それらは報酬を与えられたり、N/A としてマークされたりする可能性がありますが、
それでも重複の可能性は低くなり。
プライベート プログラムでわずか 30 分で、約 1500 ドルを稼いだバグを見つけて。
この種のバグを検索するときは、まずメール アドレスが異なる 2 つの
アカウントを作成し。
さらに、複数のタブとブラウザを使用して、論理的なバグを検索していて。
メール アドレスで 2 つの異なるアカウントを作成し、2 つの
異なるブラウザで両方のアカウントを開き。
現在、探しているプライベート プログラムは、会議をホストするための
プラットフォームを提供する会社のようなもので。
所有者／管理者アカウントから直接、さまざまな種類の権限と特典を与えることで、
すべての従業員を管理して。
したがって、作成するオプションがあるか、ビジネスをホストし、
シフトや従業員の会議を開始したい人など、同じ場所ですべての従業員を
管理すると言うことができ。
所有者は、所有者のアカウントから直接従業員の休憩を決定することもできて。
雇用アクセスレベルの変更後、権限のない人が業務の詳細を編集できて。
バグの要約：
プラットフォームを調べていると、管理者が誰かに管理者の許可を与え、
管理者が雇用アクセス レベルを元のアクセス レベルに戻した場合、
その従業員は権限がなくても組織に変更を加えることができることがわかり。
これは、アプリケーションのアクセス制御の破損の一種で。
再現する手順 ：
１．redacted.com にサインアップしてビジネス プロフィールを作成して。
２．通常の従業員アクセス レベルとして、社内の任意の 2 人目のユーザを招待し。
３．2 番目のブラウザで 2 番目のユーザの招待を受け入れるようになり。
従業員として、ビジネス名や設定などのビジネスの何も変更できなくなって。
(その機能)
４．一部の限られたアクセスのみを表示できて。
５．次に、ブラウザ 1 で管理者アカウントに移動し、2 番目のユーザの
雇用レベル アクセスをシステム管理者に変更して。
６．user-2 のページを更新すると、このアクセス レベルでいくつかの追加の
管理機能が表示され。
ビジネスのすべての詳細を変更することもできますが、
誰も招待することはできず。
７．もう一度メインの管理者アカウントに移動し、
アクセス レベルを古い従業員のアクセス レベルに変更して。
８．これで、ユーザは元のアクセス レベルに戻され。
９．user-2 ブラウザのページを更新せず、ビジネス名を変更して保存しようとして。
１０．管理者アカウントで確認でき、名前が変更され、ビジネスの従業員から
許可されていない人がビジネス名を変更したことがわかって。
ここでのアクセス レベルは、いくつかの追加の許可機能を使用して、
いくつかの特定の役割で他のユーザの管理者として役割を変更できることを
意味して。
影響 ：
これは、ビジネスの他のすべてのものを変更するなどの主要なリスクに
ビジネス管理者を導き、組織とビジネスにさまざまな影響を与えて。
このバグでは、2 番目のユーザ アカウント ページにタイムアウト セッションの
要素がなく、アクセス制御が壊れており、ユーザはそのような承認なしに
ビジネスの変更を行うことができて。
Best regards, (^^ゞ
