Масштабний витік даних: додаток Папи Римського «Click To Pray» поставив під загрозу сотні тисяч користувачів
Як офіційний додаток Папи Римського допустив витік даних?
За інформацією видяння The Register, у молитовному застосунку «Click To Pray», який є офіційною платформою Всесвітньої молитовної мережі Папи Римського, виявили критичну вразливість. Через неї потенційно можна було отримати доступ до персональних даних понад 719 тисяч користувачів, включно з іменами та персональними даними.
За словами дослідника, один автоматизований запит міг послідовно отримати інформацію про кожен із понад 719 тисяч облікових записів.
Проблему виявив фахівець із кібербезпеки під псевдонімом «Click To Pray», який ще на початку року повідомив про неї розробників. Однак, як стверджує дослідник, протягом кількох місяців він не отримав відповіді, а сама вразливість залишалася доступною.
Чому експерти вважають цю вразливість особливо небезпечною?
За попередньою інформацією, причиною став класичний тип помилки Insecure Direct Object Reference (IDOR). Через відсутність належної перевірки прав доступу API міг повертати інформацію не лише про власний обліковий запис користувача, а й про будь-який інший.
Дослідник також звернув увагу, що система використовувала послідовні числові ідентифікатори користувачів. Це давало змогу потенційному зловмиснику автоматично перебрати всі акаунти та отримати доступ до персональних даних без складних технічних дій.
Особливе занепокоєння викликає те, що значна частина аудиторії сервісу може бути більш довірливою до повідомлень, пов'язаних із Ватиканом. Саме тому експерти попереджають про високий ризик фішингових атак, коли шахраї можуть маскувати свої листи під офіційні повідомлення релігійної організації.
Окремою проблемою дослідник назвав процедуру підтвердження електронної пошти. За його словами, механізм реєстрації дозволяв підтвердити обліковий запис ще до того, як власник поштової скриньки отримував лист із підтвердженням, що потенційно створювало додаткові можливості для зловживань.
Читайте по темі:
- Несподівана святиня для програмістів: у Японії є храм, де просять про стабільний інтернет і відсутність багів.
- «Потрібно повернутися до переговорів»: Папа Римський Лев XIV закликав Путіна зупинити війну.
- Папа Римський висловив занепокоєння через війну в Україні: Лев XIV закликав до миру.