Ошибка в приложении для гей-знакомств позволяла кому угодно зайти в профиль пользователя04.10.2020 19:31

А там можно было узнать и ВИЧ-статус человека

5ce8f2c1810d6988990fb787c1531c5735daaf7e

В приложении для гей-знакомств Grindr обнаружили уязвимость, которая позволяла кому угодно зайти в профиль пользователя. Помимо информации об ориентации, так можно было узнать и ВИЧ-статус человека.

Из-за уязвимости третьи лица могли зайти в пользовательский аккаунт, зная только адрес электронной почты, привязанный к нему. Ошибку обнаружил французский исследователь безопасности. Её уже устранили.

Чтобы воспользоваться уязвимостью, нужно было ввести email в форму для сброса пароля. Сайт отправлял ответ, который можно было посмотреть через инструменты разработчика в браузере. В ответе содержался ключ, который было достаточно вставить в URL, чтобы получить доступ к аккаунту.

Как заявил представитель Grindr, в компании надеются, что данной уязвимостью не успел воспользоваться ни один злоумышленник.