Si tratta di una grave vulnerabilità? Divulgazione di informazioni semi

Hai ragione in quanto è una divulgazione di informazioni, qualcuno può facilmente scoprire nomi utente validi e quindi provare a rompere la loro sicurezza. Se fossi il proprietario del sito mi piacerebbe saperlo. Idealmente si dovrebbe informare il proprietario del sito, possono avere un indirizzo e-mail o un link di contatto che è possibile utilizzare.

L'unico avvertimento è che alcuni luoghi hanno leggi anti-hacking fuorviate che rendono illegale anche l'hacking etico. La Germania è un esempio, anche se in pratica non sembrano inseguire la gente per l'esecuzione di atti utili. È altamente improbabile che vengano prodotti dei negativi e, chissà, potrebbero persino inviarti una maglietta o pagare una taglia per un bug.

Questa non è una vulnerabilità seria - la sua enumerazione di username. Di per sé è una vulnerabilità a basso rischio.

Di per sé è difficile da usare in quanto è necessario indovinare un indirizzo email valido per determinare se hanno un account.

Dove diventa utile è se si dispone di dati di violazione precedenti con un elenco di e-mail e credenziali in chiaro. È possibile utilizzare l'enumerazione per determinare se un utente è registrato e quindi verificare le credenziali della violazione precedente contro di esso per tentare di ottenere l'accesso.

Il motivo del suo basso è di per sé l'informazione divulgata non è quella utile, è solo quando lo si incatena con dati credenziali che potrebbero o meno corrispondere al sistema di destinazione sarà utile.