检测

ActivityPub 用户名枚举

medium Web App Scanning 插件 ID 113978

语言：

简介

ActivityPub 用户名枚举

描述

在某些 ActivityPub WebFinger 实现中，可使用通配符搜索枚举 API webfinger 服务上的用户名（称为参与者）。即使 ActivityPub 服务器应用程序本身禁用了用户列表和目录，此信息也可能通过 api 端点暴露个人配置文件地址、身份服务、电话号码、头像选择或其他信息。

解决方案

阻止对服务器上包含通配符 (*) 的 /.well-known/webfinger 端点的请求，例如使用 WAF。

另见

https://docs.joinmastodon.org/spec/webfinger/

https://webfinger.net/

https://wordpress.org/plugins/webfinger/

插件详情

严重性: Medium

ID: 113978

类型: remote

发布时间: 2023/8/29

最近更新时间: 2023/8/29

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: Low

分数: 2.2

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: Medium

基本分数: 5.3

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVSS 分数来源: Tenable

参考资料信息