- Rakendus Shot on OnePlus sisaldab turvalisuse puudust.
- Vigadega kokku puutunud kasutajate nimed, riigid ja e-posti aadressid.
- OnePlus lahendas mõnevõrra turvavea.
Vastavalt a 9to5Google Täna varem avaldatud aruandes põhjustas turvavea OnePlusi rakenduse Shot kaudu lekitamine “sadu” e-posti aadresse. OnePlus eelinstallib rakenduse OnePlus 7 Pro ja teistesse OnePlus telefonidesse.
Nagu nimigi ütleb, näitab Shot OnePlusis teiste inimeste fotosid ja laseb teil oma pildid üles laadida. Foto üleslaadimisel saate muuta selle pealkirja, asukohta ja kirjeldust. Shot on OnePlus nõuab fotode üleslaadimiseks sisselogimist, kusjuures kasutajad saavad rakenduses ja veebisaidil muuta oma profiilinimesid, riike ja e-posti aadresse.
Kahjuks 9to5Google leidis API - mida kasutatakse peamiselt avalike fotode saamiseks ja rakenduse ning OnePlusi serverite vahelise ühenduse loomiseks -, et sellele oleks lihtne juurde pääseda ja ilma tüüpiliste API-väärtpaberiteta. Hostitud saidil open.oneplus.net on API juurdepääsetav kõigile, kellel on juurdepääsuluba, ja näiliselt sisaldab tundlikke kasutajaandmeid.
Olukorra hullemaks muutmine on rakendusliideses „gid”. Gid on tähtnumbriline kood, mis võimaldab API-l tuvastada konkreetsed kasutajad. See koosneb kahest osast: kahest tähest, mis näitavad kasutaja päritolu, ja ainulaadsest numbrist. Näiteks CN472834 on kasutaja Hiinast ja EN593874 on kasutaja kuskilt mujalt.
Haavatav API kasutab gidi kasutaja üleslaaditud fotode leidmiseks või fotode kustutamiseks. API kasutab gidi ka kasutaja teabe, näiteks tema nime, riigi ja e-posti saamiseks ning selle teabe värskendamiseks.
Nagu poleks see olnud piisavalt halb, võite teiste kasutajate leidmiseks liikuda läbi võrgu numbrite.
Hea uudis on see, et API ei leki enam fotode avalikult üleslaadijate kodulehti ja e-posti aadresse. OnePlus muutis selle ka nii, et API-d kasutab siiski ainult rakendus OnePlus Shot 9to5Google märgib, et sellest saab kergesti mööda. Lõpuks varjab API e-posti aadressid tärnidega.
pöördus OnePlusi poole kommentaaride saamiseks, kuid ei saanud aja järgi vastust.
