*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。

内容介绍

本视频中，我们来讲解一个在HackerOne平台报送且影响HackerOne系统自身的漏洞，利用该漏洞可通过构造GraphQL查询请求，获取大量HackerOne系统中的未授权敏感数据，如涉及HackerOne白帽人员的各种表名：account_recovery_phone_number、account_recovery_unverified_phone_number、address、email、payout_preferences等，将可导致HackerOne平台大量数据泄露。

该漏洞原因在于，HackerOne工程师团队在某次GraphQL应用层更新中，向原本基于edges的访问控制措施中添加了nodes查询构造功能，形成了edges {node}形式的查询构造，但这里只需构造基于nodes的查询请求，即可绕过其基于edges的访问控制措施和相关属性级别授权，实现对内部数据库未授权信息的请求查询，将会造成严重的数据泄露事件。最后，好在经HackerOne分析调查，攻击者还未曾对该隐患进行过攻击利用，因此，该份漏洞报告的提交及时为HackerOne预防了安全风险。

详细漏洞报告请参考：https://hackerone.com/reports/489146

观看视频

*本课程翻译自Youtube精选系列教程，FreeBuf视频组荣誉出品，喜欢的点一波关注（每周更新）！