- L’aplicació Shot on OnePlus conté un defecte de seguretat.
- El defecte exposava els noms, els països i les adreces de correu electrònic dels usuaris.
- OnePlus va abordar una mica el defecte de seguretat.
Segons una 9to5Google un informe publicat abans d’avui, un defecte de seguretat va provocar que “centenars” d’adreces de correu electrònic es filtressin a l’aplicació Shot on OnePlus. OnePlus preinstal·la l'aplicació en OnePlus 7 Pro i altres telèfons OnePlus.
Tal com el seu nom indica, Shot on OnePlus mostra les fotos d’altres persones i us permet pujar les vostres pròpies. Quan pengeu una foto, podeu canviar el títol, la ubicació i la descripció. Shot on OnePlus requereix un inici de sessió per a les càrregues de fotos, els usuaris podran canviar el seu nom de perfil, els seus països i les seves adreces de correu electrònic a l'aplicació i al lloc web.
Malauradament, 9to5Google va trobar una API (principalment utilitzada per obtenir fotos públiques i fer que l’enllaç entre l’aplicació i els servidors de OnePlus) sigui fàcil d’accedir i sense títols d’API típics. Allotjat a open.oneplus.net, l'API és accessible a qualsevol persona amb un testimoni d'accés i, aparentment, conté dades sensibles d'usuari.
Com a empitjorar la situació és "guiar" a l'API. El gid és un codi alfanumèric que permet a l'API identificar usuaris concrets. Es compon de dues parts: dues cartes que mostren d'on prové un usuari i un número únic. Per exemple, CN472834 és usuari de la Xina i EN593874 és usuari d'un altre lloc.
L’API vulnerable utilitza la guia per trobar les fotos penjades d’un usuari o suprimir aquestes. L’API també fa servir la guia per obtenir informació de l’usuari, com ara el seu nom, país i correu electrònic, i actualitzar aquesta informació.
Com si això no fos malament, podeu cercar els números d’un guia per trobar altres usuaris.
La bona notícia és que l’API ja no filtra les adreces de guies i de correu electrònic dels que publiquen fotografies. OnePlus també va aconseguir que només l’aplicació Shot on OnePlus utilitzi l’API 9to5Google notes que es poden obviar fàcilment. Finalment, l'API oculta les adreces de correu electrònic amb asteriscs.
Va comunicar-se a OnePlus per fer-ne el comentari, però no va rebre cap resposta abans de la premsa.
