16 岁研究员发现微软令牌未验签漏洞，17 万亿条记录可被接管

16 岁 bug bounty 研究员 Faav 披露微软内部分析服务 Titan 存在严重漏洞：该服务不校验登录令牌的签名，只检查其他字段，攻击者只需伪造一个身份为 admin 的未签名令牌即可通过验证，进而以未授权 SQL 查询访问约 17.3 万亿条存储记录。Faav 因该发现获得微软 5000 美元赏金，漏洞已随披露得到处理。

2026-09-26 ~ 2026-09-26 · 2 条相关