报告 #3378635 - 跨租户未授权密码重置导致账户接管
分享：lemlist总结
我们在app.lemlist.com中发现了一个授权问题，租户管理员可以更改同一租户内其他用户的密码，包括已邀请的代理账户。受害者必须首先接受邀请，攻击者才能继续操作。该漏洞可能导致在共享租户环境中出现意外的账户访问，但当启用多因素认证（MFA）时成功阻止了登录。Lemlist团队已收到通知并解决了该问题，确保对用户凭据更改实施更严格的访问控制。
时间线
- mcdave 向lemlist提交报告
- 2025年10月10日 12:36 UTC
- mcdave 将严重性从无更新为严重（9.1）
- 2025年10月10日 12:43 UTC
- mcdave 发表评论
- 2025年10月10日 12:48 UTC
- alban75（lemlist员工）更改范围
- 2025年10月10日 14:01 UTC
- mcdave 发表评论
- 2025年10月10日 14:34 UTC
- alban75（lemlist员工）将状态更改为"已分类"
- 2025年10月10日 15:08 UTC
- alban75（lemlist员工）将严重性从严重（9.1）更新为高（8.4）
- 2025年10月10日 15:11 UTC
- alban75（lemlist员工）关闭报告并将状态更改为"已解决"
- 2025年10月22日 13:05 UTC
- mcdave 请求披露此报告
- 2025年10月25日 21:16 UTC
- alban75（lemlist员工）同意披露此报告
- 6天前
- 此报告已被披露
- 6天前
报告详情
| 项目 | 详情 |
|---|---|
| 报告时间 | 2025年10月10日 12:36 UTC |
| 报告者 | mcdave |
| 报告对象 | lemlist |
| 报告ID | #3378635 |
| 状态 | 已解决 |
| 严重性 | 高（8.4） |
| 披露时间 | 2025年11月7日 9:33 UTC |
| 弱点 | 无 |
| CVE ID | 无 |
| 赏金 | 无 |
| 账户详情 | 无 |
看起来您的JavaScript被禁用了。要使用HackerOne，请在浏览器中启用JavaScript并刷新此页面。