У нас дыра в безопасности © Sensitive data is viewed by an individual unauthorized to do so!
Алгоритм воспроизведения: 1. открыть свежеустановленный Chrome, 2. открыть вкладку с mokum.place, залогиниться, 3. открыть вкладку с https://movdut.0xd8.org/, 4. кликнуть на "Auth via Mokum.place API token"
5. увидеть то, что на скриншоте, со случайным профилем в правой колонке.
6. из правой колонки извлекается: а). название приватного сабфида и его URL, независимо от прав доступа; б). полный список групп, в которых состоит пользователь, включая приватные, в). список необработанных запросов на подписку (работоспособность Approve и Reject не проверялась).
7. повторение шагов 3-6 выбрасывает на новые случайные профили (иногда на пустую колонку)
• воспроизводится у меня. после получения шага 6 достаточно ctrl+R • ulidkovod
• дыра через вдутинг • hotgiraffe
• получается таки можно вдуть ;) • silpol
• Вдутинг не принципиален. Только что попробовала в режиме инкогнито (залогинившись только в мокум) пообновлять страницу /settings/apitokens. Это пиздец. • ulidkovod
• ^ ну не будь вдутинга, кто б туда ходил!.. (похоже там появляются последние, кто туда ходил. кэши небось) • hotgiraffe
• One man's security hole is another man's match! • kaznacheev
• 8. ... . 9. MY GOD, IT'S FULL OF GROUPS! • aldragon
• С мобильной версии под Edge я тоько что в /apitokens увидела профиль какого-то турка, так что работает не только в хроме и не только в абсолютно чистом браузере • anesthesia
• mitigation deployed • haron
• (вдутинг временно выключен) • vadikas
• Вдутинг закрывается, нас всех тошнит. Сквадетту и Харону громкие кудосы за быструю реакцию. • piggymouse1
• @aldragon: fixed, thanks a lot. This bug has NOTHING to do with tokens, authentication and so on (the fact that it was reproducible on /settings/apitokens page is ***pure coincidence***). Full report to follow. All auth tokens were temporarily disabled as precaution and are going to be re-enabled back soon. • squadette
• API tokens re-enabled. • haron
• (вдутинг включен) • vadikas
• Вот так вот, за работой весь апокалипсис и пропустишь :( • egarbuzov
• @egarbuzov Не апокалипсис а вдутингейт ;) • vadikas
• FTFY какпопалипсис • earwin