security - 这是一个有效的漏洞吗？

Question

我刚刚在一个网站上发现似乎是一个安全问题。我不是安全专家，所以我想在向网站报告漏洞之前确认一些要点。

该网站使用“电子邮件链接”进行身份验证。为了接收“电子邮件链接”，用户在网站的登录表单中输入他们的电子邮件。这将发送以下 HTTP 请求：

POST https://thewebsite.com/login
{
   "email": "[e-mail]"
}

如果用户存在于网站的数据库中，则 HTTP 响应代码为 200，否则响应为 404。

这让我想到了以下漏洞：

1. 该网站公开提供了检查用户是否存在于其数据库中的可能性，可以被暴力破解。
2. 任何人都可以通过发送先前的 POST 请求向网站用户发送垃圾邮件。

我想听听安全专家的意见，我应该报告这个问题吗？这些类型的攻击有通用名称吗？

标签： securityauthentication

Answer 1

是的，这是一个漏洞，我们称之为用户枚举。