- Додаток Shot on OnePlus містить ваду безпеки.
- Недолік виявив імена користувачів, країни та адреси електронної пошти.
- OnePlus дещо вирішив недолік безпеки.
Згідно з a 9to5Google У звіті, опублікованому раніше, недолік безпеки спричинив просочення "сотні" адрес електронної пошти через додаток Shot on OnePlus. OnePlus попередньо встановлює додаток на OnePlus 7 Pro та інших телефонах OnePlus.
Як випливає з назви, Shot on OnePlus показує фотографії інших людей і дозволяє завантажувати свої власні. Завантажуючи фотографію, ви можете змінити її назву, місцезнаходження та опис. Зйомка на OnePlus вимагає входу в систему для завантаження фотографій. Користувачі можуть змінювати імена своїх профілів, країни та адреси електронної пошти в додатку та веб-сайті.
На жаль, 9to5Google знайшов API - в основному використовується для отримання публічних фотографій та встановлення зв’язку між додатком та серверами OnePlus - для легкого доступу та без типових цінних паперів API. Розміщений на open.oneplus.net, API доступний для всіх, хто має маркер доступу, і, здавалося б, містить чутливі дані користувачів.
Погіршення питань - це "gid" в API. Gid - це буквено-цифровий код, який дозволяє API ідентифікувати конкретних користувачів. Він складається з двох частин: двох літер, які розкривають, звідки користувач, і унікального номера. Наприклад, CN472834 є користувачем з Китаю, а EN593874 - користувачем з іншого місця.
Вразливий API використовує gid, щоб знайти завантажені користувачем фотографії або видалити ці фотографії. API також використовує gid для отримання інформації користувача, наприклад, його імені, країни та електронної пошти, та оновлення цієї інформації.
Начебто це було недостатньо погано, ви можете переглядати номери gid, щоб знайти інших користувачів.
Хороша новина - API більше не просочує гід та електронні адреси тих, хто публічно завантажує фотографії. OnePlus також зробив це, тому лише додаток Shot on OnePlus використовує API 9to5Google нотатки, які можна легко обійти. Нарешті, API затінює електронні адреси зірочками.
звернувся до OnePlus для коментаря, але не отримав відповіді в прес-час.
