- Aplikácia Shot on OnePlus obsahuje bezpečnostnú chybu.
- Chyba odhalila mená, krajiny a e-mailové adresy používateľov.
- OnePlus sa trochu zaoberal bezpečnostnou chybou.
Podľa a 9to5Google správy zverejnenej dnes, bezpečnostná chyba spôsobila únikom stoviek e-mailových adries prostredníctvom aplikácie Shot on OnePlus. OnePlus predinštaluje aplikáciu na telefóny OnePlus 7 Pro a ďalšie telefóny OnePlus.
Ako už názov napovedá, Shot on OnePlus zobrazuje fotografie iných ľudí a umožňuje vám nahrať vlastné. Po odovzdaní fotografie môžete zmeniť jej názov, umiestnenie a popis. Snímka na serveri OnePlus vyžaduje prihlásenie k nahraniu fotografií, pričom používatelia môžu meniť svoje profilové mená, krajiny a e-mailové adresy v aplikácii a na webových stránkach.
bohužiaľ, 9to5Google zistili, že API - hlavne sa používa na získavanie verejných fotografií a prepojenie medzi aplikáciou a servermi OnePlus - je ľahko prístupné a bez typických záruk API. Rozhranie API, ktoré je hostiteľom domény open.oneplus.net, je prístupné každému, kto má prístupový token a zjavne obsahuje citlivé údaje o užívateľovi.
Čo je horšie, je „gid“ v API. Gid je alfanumerický kód, ktorý umožňuje API identifikovať konkrétnych používateľov. Pozostáva z dvoch častí: dvoch písmen, z ktorých je zrejmé, odkiaľ používateľ pochádza, a jedinečného čísla. Napríklad CN472834 je používateľom z Číny a EN593874 je používateľom z iného miesta.
Zraniteľné rozhranie API používa gid na nájdenie fotografií odovzdaných používateľom alebo na odstránenie uvedených fotografií. Rozhranie API tiež používa gid na získanie informácií o používateľovi, napríklad jeho mena, krajiny a e-mailu, a na aktualizáciu týchto informácií.
Ak by to nebolo dosť zlé, mohli by ste prechádzať číslami gid a nájsť ďalších používateľov.
Dobrou správou je, že rozhranie API už neuniká z ponuky e-mailových adries tých, ktorí verejne odovzdávajú fotografie. OnePlus to tiež zvládol, takže rozhranie API používa iba aplikácia Shot on OnePlus 9to5Google poznámky, ktoré možno ľahko obísť. Nakoniec API zakrýva e-mailové adresy hviezdičkami.
oslovil OnePlus o komentár, ale nedostal odpoveď do tlačového času.
