这是一个有效的漏洞吗

Question

我刚刚在一个网站上发现了一个安全问题。我不是安全专家，所以在向网站报告漏洞之前，我想确认一些要点。

该网站使用"；电子邮件链接"；以进行身份验证。为了接收"；电子邮件链接"；，用户在网站的登录表单中输入他们的电子邮件。这会发送以下HTTP请求：

POST https://thewebsite.com/login
{
"email": "[e-mail]"
}

如果用户存在于网站的数据库中，则HTTP响应代码为200，否则响应为404。

这让我想到了以下漏洞：

1. 该网站公开提供了检查用户是否存在于其数据库中的可能性，可以是暴力强制的
2. 任何人都可以通过发送以前的POST请求向网站用户发送垃圾邮件

我想听听安全专家的意见，我应该报告这个问题吗？这些类型的攻击有一个通用名称吗？

Answer 1

是的，这是一个漏洞，我们称之为"用户枚举"。