尽管Epic Games Store 经常提供免费赠品，但由于多种原因，Valve 的 Steam 仍然是大多数 PC 游戏社区的首选平台，包括它更成熟、定期提供大量销售以及它已经提供一个庞大的图书馆。因此，特别有趣的是，Steam 实际上有一个错误，允许人们向他们的钱包中添加无限资金。
尽管Epic Games Store 经常提供免费赠品，但由于多种原因，Valve 的 Steam 仍然是大多数 PC 游戏社区的首选平台，包括它更成熟、定期提供大量销售以及它已经提供一个庞大的图书馆。因此，特别有趣的是，Steam 实际上有一个错误，允许人们向他们的钱包中添加无限资金。
Steam游戏管家
大小：37.8MB语言：简体中文
类型：游戏大厅等级：
立即下载查看详情
“drbrix”于 8 月 9 日在 HackerOne 上报告了该漏洞。但问题的要点是，如果您的电子邮件 ID 包含某些字符串，例如“amount100”，您可以拦截 POST请求您的 Smart2Pay 付款方式并人为地夸大其价值以接收比您实际支付的更多的资金。本质上，您可以为 Steam 钱包资金支付 1 美元，但更改 POST 请求的参数以接收更多金额。
Valve 于 8 月 10 日接受了该报告，对其发布了“严重”严重性评级，并应用了修复程序。该报告表明，虽然仍然可以修改 POST 请求中的参数值，但这不再影响您收到的回报金额。
由于已经在其生产服务器上应用了修复程序，该问题已由 Valve 公之于众。最初将漏洞告知 Valve 的人还获得了 7,500 美元的赏金，因为他们的报告“写得很清楚，有助于识别真正的商业风险”。电子邮件子字符串很重要，因为它被修改以增加资金。例如，如果您的电子邮件包含子字符串“brixamount100”，则可以在 POST 请求中将其更改为“brix&amount=100”以接收更多资金。目前尚不清楚该漏洞是否被积极利用。
文章来源：https://www.qqxiazai.com/news/43616.html
