Đang tải bảng tin…
InfoSec Write-ups0 Hot0 bình luận8 phút đọc
How I Found an Email Verification Bypass on an AI Freelance Platform
A security researcher discovered an email verification bypass on an AI freelance platform by noticing that the JWT returned in the registration API response was identical to the token embedded in the verification email link. By manually constructing the verification URL using the already-exposed JWT, accounts could be verified without ever accessing the registered inbox. The root cause was token reuse across two distinct purposes: authentication after registration and email ownership verification. The write-up explains the broken trust model this creates, its potential impact (fake/disposable email abuse, undermined identity checks), and emphasizes that the finding required no advanced tools — only Chrome DevTools, a temp email, and careful observation of network traffic.
Nguồn: https://infosecwriteups.com/how-i-found-an-email-verification-bypass-on-an-ai-freelance-platform-6ad76663b658. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
The New Stack1 Hot6 phútAI
IdentityServer4 is dead. Here’s what comes next.
RSK đã fork IdentityServer4 thành Open.IdentityServer, phiên bản miễn phí và mã nguồn mở cho OpenID Connect và OAuth 2.0 trên .NET, nhằm thay thế phiên bản thương mại của Duende Software. Open.IdentityServer 1.0.0 ra mắt tháng 6/2025 với giấy phép Apache 2.0, hỗ trợ di chuyển dễ dàng từ Duende chỉ bằng thay đổi NuGet package.
Nếu bạn đang phát triển ứng dụng .NET sử dụng OAuth 2.0/OpenID Connect và muốn có một giải pháp mã nguồn mở, hỗ trợ lâu dài mà không phụ thuộc vào các giải pháp thương mại, thì Open.IdentityServer là lựa chọn thay thế đáng tin cậy và dễ triển khai ngay hôm nay.
