hackerone-yelp-2020-08-c-391092

I.D.O.R To Order,Book,Buy,reserve On YELP FOR FREE (UNAUTHORIZED USE OF OTHER USER’S CREDIT CARD)

https://hackerone.com/reports/391092

IDOR를 통해 다른 사람이 등록해 둔 신용카드를 이용해 결제할 수 있었다. 이를 통해 음식을 공짜로 주문할 수 있었다. /checkout/transaction_platform 엔드포인트에 직접 접근할 수 있던 게 원인이었다.

---

tags: bughunting, wstg-athz-04, idor, web hacking, severity critical