- OnePlus uygulamasında Shot bir güvenlik açığı içerir.
- Kusurda bulunan kullanıcıların adları, ülkeleri ve e-posta adresleri.
- OnePlus bir şekilde güvenlik açığını ele aldı.
Göre 9to5Google Bugün daha önce yayınlanan raporda, bir güvenlik açığı "yüzlerce" e-posta adresinin Shot on OnePlus uygulaması üzerinden sızmasına neden oldu. OnePlus, uygulamayı OnePlus 7 Pro ve diğer OnePlus telefonlarına önceden yükler.
Adından da anlaşılacağı gibi, OnePlus'ta Shot, diğer kişilerin fotoğraflarını gösterir ve kendi fotoğraflarınızı yüklemenizi sağlar. Bir fotoğraf yüklediğinizde, başlığını, yerini ve açıklamasını değiştirebilirsiniz. OnePlus'ta çekilen fotoğraflar, kullanıcılar fotoğraflarını yüklemek için giriş yapmayı gerektirir; kullanıcıların uygulama adlarını, ülkeleri ve e-posta adreslerini uygulama ve web sitesinde değiştirebilmeleri gerekir.
Ne yazık ki, 9to5Google Genelde herkese açık fotoğraflar çekmek ve uygulama ile OnePlus’ın sunucuları arasındaki bağlantıyı kurmak için kullanılan bir API’yi buldu. Open.oneplus.net'te barındırılan API, erişim belirteci olan ve görünüşte hassas kullanıcı verileri içeren herkes tarafından erişilebilir.
Sorunları daha da kötüleştirmek, API'deki “gid” dir. Gid, API'nın belirli kullanıcıları tanımlamasına izin veren alfasayısal bir koddur. İki bölümden oluşur: bir kullanıcının nerede olduğunu ortaya çıkaran iki harf ve benzersiz bir sayı. Örneğin, CN472834 Çin'den bir kullanıcı ve EN593874 başka bir yerden bir kullanıcı.
Güvenlik açığı bulunan API, kullanıcının yüklenen fotoğraflarını bulmak veya söz konusu fotoğrafları silmek için gidonu kullanır. API ayrıca, kullanıcının adı, ülkesi ve e-postası gibi bilgileri almak ve bu bilgileri güncellemek için gid'i kullanır.
Bu yeterince kötü değildi sanki, diğer kullanıcıları bulmak için bir gidin numaraları arasında geçiş yapabilirsiniz.
İyi haber şu ki, API artık herkese açık fotoğraf yükleyenlerin gid ve e-posta adreslerini sızdırmıyor. OnePlus da bunu yaptı, ancak yalnızca Shot on OnePlus uygulaması API kullanıyor 9to5Google Kolayca atlanabilir notları. Son olarak, API, yıldız işaretleriyle e-posta adreslerini gizler.
yorum için OnePlus'a ulaştı ancak basın zamanına göre yanıt gelmedi.
