サイボウズのバグバウンティで仕様だって言われたやつ

nobounty.md

全体

タブナビング

(https://github.com/cybozu/bugbounty/blob/master/scope/Tabnabbing.md)

CSV Excel Macro Injection（CEMI）

(https://github.com/cybozu/bugbounty/blob/master/scope/CEMI.md)

Cross Site Port Attack (XSPA)

(https://github.com/cybozu/bugbounty/blob/master/scope/XSPA.md)

フルパスの漏えい

内部サーバーのIPアドレス

(https://github.com/cybozu/bugbounty/blob/master/scope/SensitiveDataExposure.md)

個々のアプリ

共通管理

• サイボウズOfficeしか使えない権限のユーザーがサイボウズOfficeに設定されない項目が閲覧できる

ガルーン

• RSSリーダーのサーバー内のファイルの列挙（file:///etc/apsswd）
• デフォルトのAdministratorアカウントが非公開スペースにアクセスできる

kintone

• スペースの書き込みでimgタグが埋め込める
• 権限のないユーザーが、制限スペースのファイルにアクセスできる
• モバイル版 SDカードにログが書き出される

Office

• htaファイルを書き出して攻撃できる
• RFDのうちダウンロード時にファイル名および拡張子を改ざんできるようなものについては脆弱性として認定しない (https://github.com/cybozu/bugbounty/blob/master/scope/ReflectedFileDownload.md)
• デフォルト設定で、すべてのユーザーがワークフローの運用管理者に設定されている
• 使用制限されたはずの機能が直接URLを叩くと使える (https://jp.cybozu.help/ja/of10/admin/sys/s04/for_all)

各アプリケーションの使用を無効にする場合 URLから直接アクセスする場合は、無効にしたアプリケーションでもアクセスできます。

• システム管理者の権限を持つユーザーが、URLを変更することで掲示開始待ち中の掲示をファイルに出力することができる

Liveモバイル版

• CONSUMER_SECRETが見える