API密钥在1Password开发者站点JavaScript文件中暴露
事件概述
安全研究人员报告称，在1Password公开开发者文档站点(developer.1password.com)的JavaScript文件中发现了一个暴露的API密钥。该密钥是故意嵌入的，用于支持Algolia驱动的搜索功能。这是一个具有严格限制权限的公共客户端密钥，不会授予任何敏感数据或特权操作的访问权限。
技术细节
复现步骤
- 访问URL：https://developer.1password.com/assets/js/main.43f8ae7b.js
- 检查文件内容
- 在JavaScript代码中定位以明文形式嵌入的暴露API密钥
- 确认密钥的可访问性无需任何身份验证或限制
影响评估
攻击者可能利用暴露的API密钥：
- 访问或操作相关服务的敏感数据
- 执行未经授权的操作或请求，可能导致数据泄露或服务中断
- 如果暴露的密钥与关键资源相关联，可能造成声誉损害
官方回应
1Password团队确认该API密钥用于页面上的Algolia搜索功能，且有意公开暴露以确保搜索功能正常工作。该密钥的权限已针对公共使用进行了适当限制。
程序范围说明
developer.1password.com明确不在漏洞赏金计划的范围内。建议研究人员在提交报告前仔细审查程序简介，确保专注于范围内的目标和高影响力的发现。
时间线
- 2025年1月6日 03:33 UTC：报告提交
- 2025年1月6日 16:10 UTC：报告关闭，状态标记为"不适用"
- 2025年7月18日 16:23 UTC：报告公开披露
安全评估
最终严重性评级：无(0.0) 弱点类型：信息泄露 CVE ID：无 赏金状态：隐藏