OneDrive文件选择器漏洞致用户整个云存储向网站暴露
💡
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
微软OneDrive文件选择器存在安全漏洞，允许第三方应用获取用户全部存储访问权限，影响数百万用户。漏洞源于OAuth授权范围过宽及同意界面不清晰。专家建议用户审查并撤销不必要的第三方应用权限。
🎯
关键要点
- 微软OneDrive文件选择器存在重大安全漏洞，影响数百万用户。
- 漏洞允许第三方应用获取用户整个OneDrive存储的完全访问权限。
- 漏洞源于过宽的OAuth授权范围和误导性的同意界面。
- 受影响的应用包括ChatGPT、Slack、Trello和ClickUp。
- OneDrive文件选择器的OAuth授权实现过于宽泛，导致安全风险。
- 旧版本使用隐式认证流程，令牌暴露在URL或不安全存储中。
- 最新版本仍以明文形式保存令牌，存在额外漏洞。
- 微软已确认收到安全报告，但未提供具体改进时间表。
- 专家建议用户审查并撤销不必要的第三方应用权限。
- 企业应实施管理员同意策略，阻止超出Files.Read权限的请求。
- 开发者应避免请求生成刷新令牌的离线访问范围，并实施安全存储实践。
➡️
