蓝点网
·
零工/兼职任务平台Fiverr泄露用户文件且不修复 大量文件暴露在公网
内容提要
知名零工平台Fiverr泄露大量用户私密信息，客户与接单者共享的PDF文件和图像被公开。由于缺乏URL鉴权，谷歌搜索抓取了超过3万个包含个人信息的文件。安全研究员报告后未获回应，最终公开了这一问题。Fiverr已将相关域名处理为404。
关键要点
-
知名零工平台Fiverr泄露大量用户私密信息，包括客户与接单者共享的PDF文件和图像。
-
由于缺乏URL鉴权，谷歌搜索抓取了超过3万个包含个人信息的文件。
-
安全研究员报告漏洞后未获回应，最终选择公开该问题。
-
Fiverr使用Cloudinary服务处理文件，但选择了公共URL，导致信息泄露。
-
安全研究员提交漏洞反馈超过40天未获回复，最终公开泄露信息。
-
Fiverr已将相关域名处理为404，试图解决信息泄露问题。
延伸解读
信息泄露的严重性
Fiverr此次泄露的用户文件中包含大量私密信息，如纳税表单和客户与接单者的交流记录。这种信息泄露不仅可能导致用户的个人隐私受到侵犯，还可能引发身份盗用等更严重的后果，用户需对此保持警惕。
平台安全措施的缺失
Fiverr在处理用户文件时未采用必要的URL鉴权措施，导致信息暴露。这一事件提醒其他平台在设计文件存储和分享机制时，必须重视安全性，确保用户数据不被随意访问。
安全研究员的角色与挑战
安全研究员在发现漏洞后尝试通过正规渠道反馈，但未能得到及时回应。这反映出平台在处理安全问题时的响应机制存在不足，未来需要加强与安全社区的沟通与合作，以便及时修复潜在风险。
延伸问答
Fiverr泄露了哪些类型的用户信息？
Fiverr泄露了客户与接单者共享的PDF文件和图像，包含个人隐私信息。
为什么Fiverr的文件会被公开？
由于缺乏URL鉴权，谷歌搜索抓取了超过3万个包含个人信息的文件。
安全研究员对Fiverr的信息泄露做了什么？
安全研究员报告了漏洞，但在超过40天内未获回复，最终选择公开该问题。
Fiverr是如何处理文件的？
Fiverr使用Cloudinary服务处理文件，但选择了公共URL，导致信息泄露。
Fiverr对此次泄露事件采取了什么措施？
Fiverr已将相关域名处理为404，试图解决信息泄露问题。
如何在谷歌搜索中找到泄露的文件？
可以使用site:fiverr-res.cloudinary.com在谷歌搜索中查找这些文件。
