IDOR на сайте подержанных авто, кража данных 25 000 пользователей

Увидел рекламу сайта, который занимается продажей подержанных машин, назовем его example.com, чтобы не портить репутацию ресурса, решил протестировать его на наличие уязвимостей. Обнаружил несколько не критических и одну критическую.

Это iDOR в личном кабинете, в редактировании личных данных. Грубая ошибка, id аккаунта передается в post запросе

POST /api/user/saveUserInfo HTTP/1.1Host: www.****.comUser-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:50.0) Gecko/20100101 Firefox/50.0Accept: application/json, text/plain, */*Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.5,en;q=0.3Accept-Encoding: gzip, deflateAuthorization: eyJhbGffOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHBpcmUiOiIyMDE3LTAzLTEyIDE0OjMxOjI1IiwiZW1haWwiOiJxaWVjghpAZ21haWwuY29tIn0.RtQI9h5O16ZS48LuK6rwJXlc1MCNmY8ai5rMywLeEe8Content-Type: application/json;charset=utf-8Content-Length: 1590

Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• Новости кибербезопасности за неделю с 19 по 25 мая 2025
• [Перевод] Преступный ИИ уже существует, и он доступен любому
• [Перевод] Postman логирует все ваши секреты и переменные окружения
• Math Agency: Google AI Mode: новая модель поиска, которая меняет всё
• Атака клонов или темная сторона Open Source
• А вам точно нужно делать и продвигать приложение? Два главных вопроса бизнесу перед разработкой
• Гайд по криптостойкости, как защитить наши данные
• [Перевод] Взлом моей машины, и, вероятно, вашей — уязвимости в приложении Volkswagen
• [Перевод] ПОСТРОЕНИЕ ДОВЕРИЯ К ИИ: как блокчейн повышает целостность, безопасность и конфиденциальность данных
• Конкурс — дело тонкое: механики, которые работают у застройщиков (и не вызывают кринж у аудитории)