- „Shot on OnePlus“ programoje yra saugumo trūkumų.
- Netinkamai matomi vartotojų vardai, šalys ir el. Pašto adresai.
- „OnePlus“ šiek tiek pašalino saugumo trūkumą.
Pagal a 9to5Google Šiandien paskelbtoje ataskaitoje dėl saugumo spragos „šimtai“ el. pašto adresų nutekėjo per „Shot“ programą „OnePlus“. „OnePlus“ iš anksto įdiegia programą „OnePlus 7 Pro“ ir kituose „OnePlus“ telefonuose.
Kaip rodo pavadinimas, „Shot“ „OnePlus“ rodo kitų žmonių nuotraukas ir leidžia įkelti savo. Įkeldami nuotrauką galite pakeisti jos pavadinimą, vietą ir aprašą. Norėdami fotografuoti „OnePlus“, reikia įkelti nuotraukų įkėlimo prisijungimo duomenis, kad vartotojai galėtų pakeisti profilio vardus, šalis ir el. Pašto adresus programoje ir svetainėje.
Deja, 9to5Google rado API (daugiausia naudojamą viešoms nuotraukoms gauti ir ryšiui tarp programos ir „OnePlus“ serverių) lengvai pasiekti ir be tipinių API vertybių. Patalpinta open.oneplus.net, API yra prieinama visiems, turintiems prieigos prieigos raktą, ir, atrodo, juose yra neskelbtinų vartotojo duomenų.
Dar blogiau yra API „gid“. „Gid“ yra raidinis ir skaitmeninis kodas, leidžiantis API identifikuoti konkrečius vartotojus. Jį sudaro dvi dalys: dvi raidės, nurodančios, iš kur yra vartotojas, ir unikalus numeris. Pavyzdžiui, CN472834 yra vartotojas iš Kinijos, o EN593874 - vartotojas iš kažkur kitur.
Pažeidžiama API naudoja žiniatinklį, norėdama rasti vartotojo įkeltas nuotraukas arba ištrinti minėtas nuotraukas. API taip pat naudoja žiniatinklį, kad gautų vartotojo informaciją, pvz., Vardą, šalį ir el. Paštą, ir atnaujintų tą informaciją.
Tarsi tai būtų visai neblogai, galėjai pereiti „GID“ numerius, kad rastum kitus vartotojus.
Geros naujienos yra tai, kad API nebeatleidžia tų, kurie viešai įkelia nuotraukas, žinyną ir el. Pašto adresus. „OnePlus“ tai taip pat padarė, tačiau API naudoja tik „Shot on OnePlus“ programa 9to5Google pastabos, kurias galima lengvai apeiti. Galiausiai API neleidžia elektroninio pašto adresus pažymėti žvaigždutėmis.
susisiekė su „OnePlus“, kad galėtų pakomentuoti, tačiau negavo atsakymo per spaudos laiką.
