Bykea | 报告 #3328343 - 租车行程中 customer_bid 字段缺少最低出价轮盘验证

报告ID: #3328343

摘要

（由 Bykea 提供） 在创建租车行程时，customer_bid 字段缺少验证，允许乘客提交任意的出价金额，包括极低的费用。虽然司机不会接受这种过低报价，但系统会在没有验证的情况下展示这些被操纵的行程费用。现已添加适当的验证以防止出现不切实际的值。

时间线

• ID-verified：已成功完成身份验证的黑客。
• sameer_ali 向 Bykea 提交了一份报告。 (2025年9月5日，UTC 12:54)
• pingsudo (Bykea 员工) 关闭了报告并将状态更改为 Informative。 (2025年9月5日，UTC 13:34 更新)
• sameer_ali 发表了一条评论。 (2025年9月5日，UTC 14:04)
• pingsudo (Bykea 员工) 重新开启了此报告。 (2025年9月6日，UTC 06:41)
• pingsudo (Bykea 员工) 将状态更改为 Triaged。 (2025年9月6日，UTC 06:41)
• pingsudo (Bykea 员工) 将严重性从中等 (5.3) 更新为低。 (2025年9月6日，UTC 06:41)
• Bykea 向 sameer_ali 发放了漏洞赏金。 (2025年9月6日，UTC 06:41)
• sameer_ali 发表了一条评论。 (2025年9月6日，UTC 06:43)
• pingsudo (Bykea 员工) 更改了报告标题。 (2025年9月6日，UTC 06:44)
• pingsudo (Bykea 员工) 关闭了报告并将状态更改为 Resolved。 (2025年11月5日，UTC 10:44)
• sameer_ali 请求披露此报告。 (2025年11月5日，UTC 10:54)
• pingsudo (Bykea 员工) 同意披露此报告。 (7天前)
• 此报告已被披露。 (7天前)

报告详情

• 报告时间：2025年9月5日，UTC 12:53
• 报告者：sameer_ali
• 报告对象：Bykea
• 状态：已解决
• 严重性：低 (0.1 ~ 3.9)
• 披露时间：2025年11月20日，UTC 05:46
• 漏洞类型：业务逻辑错误
• CVE ID：无
• 赏金：隐藏
• 账户详情：无

看起来您的 JavaScript 已被禁用。要使用 HackerOne，请在浏览器中启用 JavaScript 并刷新此页面。