Blockstack浏览器Mac版泄露"核心API密码"给第三方
漏洞概述
Blockstack浏览器Mac版本存在安全漏洞，通过Referer头将CoreAPIPassword泄露给多个第三方网站。
受影响的网站
- appco.imgix.net（第三方网站）
- api.app.co（似乎与Blockstack有关联）
- browser-api.blockstack.org
复现步骤
- 下载Blockstack for macOS v0.36.1.dmg
- 安装dmg文件
- 启动代理工具（如BurpSuite）
- 配置浏览器使用BurpSuite作为代理，并移除localhost/127.0.0.1代理例外
- 启动Blockstack应用，访问http://localhost:8888/sign-up
- 观察到出站连接泄露核心API密码
解决方案
- 在Blockstack浏览器中包含Referer-Policy头，防止密码泄露
- 建议不要在URL参数中传递敏感数据，因为完整URL通常以明文形式记录在负载均衡器日志中
影响
任何受影响的网站、负载均衡器日志或跟踪服务的泄露都会暴露Blockstack用户的核心API密码。
官方回应
Hiro团队表示核心API密码不再用于核心节点的可信认证，该字段仅作为遗留字段保留在浏览器设置对象中，因此将此报告标记为信息性而非安全问题。