- Lietotnē Shot on OnePlus ir drošības kļūda.
- Kļūdaini atklātie lietotāju vārdi, valstis un e-pasta adreses.
- OnePlus nedaudz novērsa drošības trūkumu.
Saskaņā ar a 9to5Google Šodien publicētajā ziņojumā drošības kļūda izraisīja “simtiem” e-pasta adrešu noplūdi caur Shot on OnePlus lietotnē. OnePlus iepriekš instalē lietotni OnePlus 7 Pro un citos OnePlus tālruņos.
Kā norāda nosaukums, Shot on OnePlus rāda citu cilvēku fotoattēlus un ļauj augšupielādēt savus. Augšupielādējot fotoattēlu, varat mainīt tā nosaukumu, atrašanās vietu un aprakstu. Lai fotografētu OnePlus, fotoattēlu augšupielādēšanai ir nepieciešama pieteikšanās, lietotājiem ļaujot lietotnē un vietnē mainīt profila profilus, valstis un e-pasta adreses.
Diemžēl 9to5Google atrada API - galvenokārt izmantojamu publisku fotoattēlu iegūšanai un saites izveidošanai starp lietotni un OnePlus serveriem -, lai tai būtu viegli piekļūt un bez tipiskiem API vērtspapīriem. Hostēta vietnē open.oneplus.net, API ir pieejama ikvienam, kam ir piekļuves pilnvara, un šķietami tajā ir ietverti sensitīvi lietotāja dati.
Sliktāku situāciju padara “gid” API. Vietne ir burtu un ciparu kods, kas ļauj API identificēt konkrētus lietotājus. Tas sastāv no divām daļām: diviem burtiem, kas norāda lietotāja atrašanās vietu, un unikālajam numuram. Piemēram, CN472834 ir lietotājs no Ķīnas, un EN593874 ir lietotājs no kaut kur citur.
Neaizsargātā API izmanto gid, lai atrastu lietotāja augšupielādētos fotoattēlus vai izdzēstu minētos fotoattēlus. API izmanto arī gid, lai iegūtu lietotāja informāciju, piemēram, viņa vārdu, valsti un e-pastu, un atjauninātu šo informāciju.
It kā tas nebūtu pietiekami slikti, lai meklētu citus lietotājus, jūs varētu pārvietoties pa tīkla numuriem.
Labās ziņas ir tas, ka API vairs neizlaiž to personu e-pasta adreses un e-pasta adreses, kuras publiski augšupielādē fotoattēlus. OnePlus to arī padarīja, tāpēc API izmanto tikai Shot on OnePlus lietotne 9to5Google piezīmes, kuras var viegli apiet. Visbeidzot, API aizēno e-pasta adreses ar zvaigznītēm.
sazinājās ar OnePlus komentāru saņemšanai, bet preses laikā nesaņēma atbildi.
