文章: mala
- 2025-01-20 初稿
- 2025-01-23 いくつかの補足と自分の過去のprivateでの言及のおまけ
- 気が向いたら、追記するかもしれない
mala mala
mala
/ covid19-twitter-research_01.md
Last active
October 17, 2024 06:34
生活と意見: ソーシャルディスタンスなどと称してユーザー名や文章にスペースを挟む行為についての苦情
2020-05-13 追記
- 継続して観測していて、対応が行われたアカウントの記録などを残している https://twitter.com/bulkneets/status/1259419102851903490
- FAQとして「機械が人間の都合に合わせろ」に対する反論を取り急ぎ置いておく
- 走り書きで書いた https://twitter.com/bulkneets/status/1260524434256879617
- https://twitter.com/voqn/status/1259515760986095617
mala
/ 0_medium_vuln_en.md
Last active
August 24, 2023 14:04
Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature / Mediumの独自ドメインプランを使って訪問者のメールアドレスが窃取できる脆弱性の開示
Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature
Author: mala
- This article describes a vulnerability in a web service called Medium that allows you to steal visitors' e-mail addresses by using custom domain plan of Medium.
- This is done as my personal activity and is not related to my organization.
- I'm not a zero-day guy and this is simply the result of a failure of coordinated disclosure.
文責: mala
前置き
- note.com (以下note) に2020年に報告した脆弱性(現在は修正済み)を解説する
- 個人の活動として行っており所属組織とは関係がない
- 自分がnote社に対して、問題があると指摘していたのは主に広報対応についてですが、この記事は技術的な知見を共有することを目的とするため、技術的な解説を中心にします。
- 公開にあたってはnote社に対して確認の上で行っています。note社による修正対応は2021年までに実施されていますが、その修正内容が適切であるかどうかについて保証するものではありません。(網羅的な確認や追加の検証をしていません)
This is src doc of my presentation on shibuya.xss #8 (2016-11-14)
The main topic is vulnerabilities related to url parser.
- PHP https://bugs.php.net/bug.php?id=73192
- Java/OpenJDK http://hg.openjdk.java.net/jdk8u/jdk8u/jdk/rev/cd0585378c46 (CVE-2016-5552)
- Android https://android.googlesource.com/platform/libcore/+/4b3f2c6c5b84f80fae8eeeb46727811e055715ea%5E%21/ (CVE-2016-5552)
- 個人の活動であり文責は全てmalaにあります。
- 網羅的に調べているわけではないので、自分が利用していたり、調査したサービスに他の脆弱性が無いことを保証するものではないです。
- ainiというサービス https://helloaini.com/ のGraphQLでの情報露出の脆弱性に関する記事を見て、追加で調べたところ、Webサイトやアプリ上から参照できない他のユーザーのフォロー/フォロワー関係をGraphQL経由で取得することが出来ることを発見した。
mala
/ cocoa-5815.md
Last active
April 7, 2022 11:02
接触確認アプリCOCOAについて通知と記録を混同した説明を行っているのではないかと問い合わせた記録
- この後、回答はなかった。
- 2021年8月31日時点でも「本アプリを端末（Android、iOS）に設定した人どうしの接触（1m以内、15分以上）を記録します。」という説明が行われている。
他国の事例
- イギリスの国民保険サービス https://covid19.nhs.uk/privacy-and-data/data-for-contact-tracing.html
- ドイツの Corona-Warn-App / b. Exposure data https://www.coronawarn.app/assets/documents/cwa-privacy-notice-en.pdf
Date: 2020年8月15日(土) 15:49
NewerOlder