本周一在2020黑帽大會上，Checkmarx安全研究人員曝光了流行線下聚會應用Meetup的兩個高風險漏洞，第一個漏洞使得攻擊者可以輕松地接管任何Meetup群組，訪問所有群組功能和資產，第二個漏洞則讓攻擊者可以重定向所有Meetup付款/金融交易到他們的PayPal賬戶(一些Meetup聚會活動是免費的，但有些則不是)。

[[336437]]

Checkmarx安全研究人員在Meetup的Web應用程序中尋找API安全問題，除了上述兩個破壞隱私的API漏洞，研究人員還發現了：

·已存儲的XSS會影響Meetup討論(并且默認情況下，所有Meetup中都啟用了討論功能);

·表單中的CSRF錯誤，用于在“設置”>“已收到的付款”中更改PayPal收件人的電子郵件地址。

通過向Meetup API發送包含惡意JavaScript的請求，可以利用這兩種方法，并且在兩種情況下，腳本都不會在討論中顯示(即，攻擊者在討論中的答復將顯示為空)。

通過將XSS和CSRF漏洞組合在一起，攻擊者可以竊取組織者的cookie，把自己的狀態更改為Meetup組的聯合組織者，這意味著他們可以訪問成員的詳細信息、聯系所有成員、編輯組設置、創建事件等等。

攻擊者還可以更改存儲在Meetup->Manage Money中的PayPal賬戶電子郵件地址，從而將所有付款定向到攻擊者的地址。

當然，原始組織者可以在檢查設置時注意到他們進行了更改，但是由于他們不會收到有關此設置的通知，因此可能在數小時或數天之內都不會被注意。

【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文