• Приложението Shot on OnePlus съдържа недостатък на сигурността.
• Недостатъкът разкри имената, държавите и имейл адресите на потребителите.
• OnePlus донякъде се справи с недостатъка на сигурността.

Според a 9to5Google доклад, публикуван по-рано днес, недостатък на сигурността предизвика „стотици“ имейл адреси да изтекат чрез приложението Shot on OnePlus. OnePlus предварително инсталира приложението на OnePlus 7 Pro и други телефони на OnePlus.

Както подсказва името, Shot on OnePlus показва снимките на други хора и ви позволява да качвате свои. Когато качите снимка, можете да промените нейното заглавие, местоположение и описание. Shot on OnePlus изисква вход за качване на снимки, като потребителите могат да променят имената на своите профили, държави и имейл адреси в приложението и уебсайта.

За жалост, 9to5Google намери API - главно използван за получаване на публични снимки и осъществяване на връзката между приложението и сървърите на OnePlus - да е лесен за достъп и без типични ценни книжа за API. Хостван на open.oneplus.net, API е достъпен за всеки с маркер за достъп и на пръв поглед съдържа чувствителни потребителски данни.

Влошаването на нещата е "gid" в API. Gid е буквено-цифров код, който позволява на API да идентифицира конкретни потребители. Състои се от две части: две букви, които разкриват откъде е потребител и уникален номер. Например, CN472834 е потребител от Китай, а EN593874 е потребител от някъде другаде.

Уязвимият API използва gid, за да намери качени от потребителя снимки или да изтрие споменатите снимки. API също използва gid, за да получи информация на потребителя, като тяхното име, държава и имейл, и да актуализира тази информация.

Сякаш това не е достатъчно лошо, можете да прегледате номера на gid, за да намерите други потребители.

Добрата новина е, че API вече не изтича gid и имейл адресите на тези, които публично качват снимки. OnePlus също го направи, така че само приложението Shot on OnePlus използва API 9to5Google бележки, които могат лесно да бъдат заобиколени. И накрая, API затъмнява имейл адресите със звездички.

се свърза с OnePlus за коментар, но не получи отговор от времето за натискане.