• האפליקציה Shot on OnePlus מכילה פגם אבטחה.
• הפגם חשף את שמות המשתמשים, הארצות וכתובות הדוא"ל של המשתמשים.
• OnePlus התייחס במידת מה לפגם האבטחה.

על פי א 9to5Google דו"ח שפורסם מוקדם יותר היום, פגם ביטחוני גרם לדחיפה של "מאות" כתובות דוא"ל דרך יישום ה- OnePlus. OnePlus מתקין מראש את האפליקציה בטלפון OnePlus 7 Pro ובטלפונים אחרים של OnePlus.

כפי שהשם מרמז, Shot ב- OnePlus מציג תמונות של אנשים אחרים ומאפשר לך להעלות תמונות משלך. כשאתה מעלה תמונה, אתה יכול לשנות את הכותרת, המיקום והתיאור שלה. צילום ב- OnePlus דורש כניסה לצורך העלאת תמונות, כאשר המשתמשים יכולים לשנות את שמות הפרופיל, הארצות וכתובות הדוא"ל שלהם באפליקציה ובאתר.

לצערי, 9to5Google מצא ממשק API - המשמש בעיקר כדי להשיג תמונות ציבוריות ולהפוך את הקישור בין האפליקציה לשרתי OnePlus - להיות קל לגישה וללא ניירות ערך ממשק API. ה- API מתארח ב- open.oneplus.net, נגיש לכל מי שיש לו אסימון גישה ולכאורה מכיל נתוני משתמש רגישים.

להחמיר את העניינים הוא ה"גוי "בממשק ה- API. ה- gid הוא קוד אלפא-נומרי המאפשר ל- API לזהות משתמשים ספציפיים. זה מורכב משני חלקים: שתי אותיות המגלות מאיפה המשתמש ומספר ייחודי. לדוגמה, CN472834 הוא משתמש מסין ו- EN593874 הוא משתמש ממקום אחר.

ממשק ה- API הפגיע משתמש ב- gid כדי למצוא תמונות שהועלו על ידי המשתמש או למחוק תמונות כאמור. ממשק ה- API משתמש גם ב- gid כדי לקבל מידע על המשתמש, כגון שמו, המדינה והדוא"ל שלו, ולעדכן את המידע הזה.

כאילו זה לא מספיק גרוע, אתה יכול לעבור בין מספרי gid כדי למצוא משתמשים אחרים.

החדשות הטובות הן שה- API כבר לא מדליף את כתובות הדוא"ל וההודעות של מי שמעלה תמונות בפומבי. OnePlus גם הפך את זה כך שרק אפליקציית ה- Shot ב- OnePlus משתמשת בממשק ה- API 9to5Google הערות שניתן לעקוף בקלות. לבסוף, ה- API מעלימה כתובות דוא"ל עם כוכביות.

פנה ל- OnePlus לתגובה אך לא קיבלה תגובה בזמן העיתונות.