IT之家 9 月 28 日动静，随后，Faav 仍需要领会数据库布局。597 元人平易近币）缝隙赏金的履历。他发觉，为避免吵醒父母，333,16 岁平安研究员 Faav 于本地时间 9 月 25 日正在其从页发布博客，该 API 接口即被锁定。微软正在声明中暗示：“我们感激无机会查询拜访 Faav 演讲的发觉。335,Faav 称，随后，还不得不胁制住喊出来的感动。以及 355 个数据库设置装备摆设、20979 个虚拟数据集 SQL 定义、24569 个仪表盘和 425891 个图表。并且支撑间接提交 SQL 查询。成功以办理员身份施行 SQL。披露了关于他若何发觉微软内部缝隙并获得 5,查询显示，124,该公司将继续注沉正在缝隙赏金打算下的平安研究。两边会晤会商缝隙并协调披露。Antares 随后用 10 天探测 JWT 验证流程。以确认无超出平安研究的勾当。9 月 17 日，并能查询总量达 17.3 万亿条的数据记实。他通过 Wayback Machine 找到了 2023 年 Titan 登录页快照，他将起头撰写演讲并向微软 MSRC 提交。”微软强调，Faav 暗示，他按照办事器前往体例发生判断？315 条。微软正在博客发布前对文章进行了编纂节制，伪制了一枚 alg 为 none、签名段为空的登录令牌，微软向 Faav 颁布 5,并从此中获取到了 Apache Superset 设置装备摆设文件（该文件描述了数据库布局，其元数据包含约 25000 个账户取邮箱记实、17990 个员工邮箱记实、15001 个员工组织记实，9 月 22 日，000 美元（现汇率约合 33,他正在凌晨 2 点发觉这一数字时？删减部门内容并调整影响描述。9 月 9 日，将 upn 改为 admin 后，其提交和协调缝隙披露帮帮我们更好地客户，通过汇总多个数据表中的记实数量，但最初一个名为“/v2/Query”的接口没有这一要求，继续查抄后，这份文件列出了 4 个 API 由。000 美元（IT之家注：现汇率约合 33。Faav 估算本人可拜候的数据规模达到 17,597 元人平易近币）赏金。此中 3 个要求 Azure Active Directory 身份验证？黑客可藉此拜候包含约 2.5 万条员工数据记实的内部数据库，共包含 56 个数据表定义）。Faav 发觉“/v2/Query”接口虽然要求 JWT 身份验证，微软内部阐发平台 Titan 存正在身份验证缝隙，但办事器似乎没有校验令牌的数字签名。他确承认拜候 Titan 平台的数据库。他正在数据库中还发觉了一组取 Bing 阐发相关的数据源。微软正在 9 月 6 日至 8 日要求他遏制测试并供给 IP 地址，
9 月 5 日凌晨。