一个潜在的远程代码执行（RCE）漏洞已经在星巴克的一个移动域中被修补了。
这家美国咖啡巨头在HackerOne上运行了一个bug悬赏平台。Kamil“ko2sec”OnurÖzkaleli提交的一份新的漏洞报告于11月5日首次提交，并于12月9日公开，报告描述了在mobile.starbucks.com.sg公司，新加坡用户的平台。
https://hackerone.com/reports/1027822“target=”_blank“rel=”noopener noreferrer nofollow”data component=“externalLink”>通知，ko2sec在上发现了一个.ashx端点mobile.starbucks.com.sg，用于处理图像文件。但是，端点没有限制文件类型上载，这意味着攻击者滥用该问题可能会上载恶意文件并远程执行任意代码。
虽然完整的bug bounty报告已被Starbucks限制，值得注意的是，bug bounty hunter对该问题的分析揭示了“共享此漏洞的其他范围外域上的其他终结点”。
CNET:黑客访问与经授权的COVID-19疫苗相关的文件。
尚未针对严重漏洞发布CVE，但已在报告中添加了9.8的严重性评分。
Ko2sec因其发现获得5600美元的奖励。
RCE并不是研究人员向星巴克提交的唯一一份报告。10月，Ko2sec描述了http://www.kamilonurozkaleli.com/posts/starbucks-singapore-account-takeover/“target=”\u blank“rel=”noopener noreferrer nofollow“data component=”externalLink“>由于开放测试环境导致的星巴克新加坡网站的帐户接管漏洞攻击。通过知道用户的电子邮件地址、查看他们的个人信息、甚至使用账户钱包中的任何信用卡进行购买，都是有可能的。
TechRepublic:网络钓鱼电子邮件：超过25%的美国员工爱上了他们
臭虫赏金猎人在上一次报告中获得了6000美元。
迄今为止，Starbucks已经收到1068份漏洞报告https://hackerone.com/starbucks“target=”noopener noreferrer nofollow“data component=”externalLink“>HackerOne。有效提交的平均奖金在250美元到375美元之间，而关键的bug价值4000美元到6000美元。总的来说，咖啡连锁店已经支付了超过64万美元的赏金猎人，其中20美元，在过去的90天内，ZDNet已经联系了星巴克，我们会在收到回复后更新。
有什么建议吗？通过WhatsApp | Signal（电话+447713 025 499）或通过Keybase:charlie0进行安全联系
