Flickr论坛分页漏洞:未充分过滤引发的无限循环与资源耗尽

本报告详细披露了Flickr网站论坛分页功能中存在的一个安全漏洞。由于对URL中的页码参数缺乏充分的验证和过滤,攻击者可构造一个超出实际页数范围的页码,导致服务器内部逻辑陷入无限循环,持续生成标记并大量消耗系统资源,最终可能引发服务拒绝。漏洞已被修复,报告者获得了479美元的赏金。

报告摘要

在某些采用分页的页面中,如果通过URL提供的页码号大于实际可用的总页数,内部逻辑将导致一个无限循环,该循环在每次迭代中都会生成标记。通过修正此逻辑,可以轻松纠正这种情况,并避免生成指向不存在页面的链接。

时间线

maskopatol 向 Flickr 提交了一份报告。

  • 2023年3月24日,00:43 UTC

pdokas (Flickr 员工) 将严重性从“中等”更新为“中等 (5.3)”。

  • 2023年3月24日,22:46 UTC

pdokas (Flickr 员工) 发表了一条评论。

  • 2023年3月24日,22:47 UTC

Flickrmaskopatol 发放了479美元的赏金。

  • 2023年3月24日,22:47 UTC

pdokas (Flickr 员工) 将状态更改为“已分类”。

  • 2023年3月24日,22:53 UTC

maskopatol 发表了一条评论。

  • 2023年3月24日,23:14 UTC

dmintonsmugmug (Flickr 员工) 将状态更改为“重新测试”。

  • 2023年11月28日,18:32 UTC (更新)

maskopatol 完成了重新测试。

  • 2023年11月28日,19:01 UTC

Flickr 接受了来自重新测试者的已完成重新测试。

  • 2023年11月28日,19:06 UTC

dmintonsmugmug (Flickr 员工) 将状态更改为“已分类”。

  • 2023年11月28日,19:06 UTC

dmintonsmugmug (Flickr 员工) 将状态更改为“已分类”。

  • 2025年8月6日,21:12 UTC

dmintonsmugmug (Flickr 员工) 将状态更改为“重新测试”。

  • 2025年10月8日,23:51 UTC (更新)

maskopatol 完成了重新测试。

  • 2025年10月9日,12:37 UTC

Flickr 接受了来自重新测试者的已完成重新测试。

  • 2025年10月9日,14:40 UTC

dmintonsmugmug (Flickr 员工) 关闭了报告并将状态更改为“已解决”。

  • 2025年10月9日,14:40 UTC

maskopatol 请求公开此报告。

  • 10天前

pdokas (Flickr 员工) 同意公开此报告。

  • 7天前
  • 此报告已被公开。
  • 7天前

报告详情

项目 内容
报告时间 2023年3月24日,00:43 UTC
报告者 maskopatol
报告对象 Flickr
管理方 Flickr
报告ID #1916400
状态 已解决
严重性 中等 (5.3)
公开日期 2025年11月24日,22:33 UTC
弱点类型 资源分配无限制或节流
CVE ID
赏金 $479
账户详情
comments powered by Disqus
使用 Hugo 构建
主题 StackJimmy 设计