Jakie zmiany w bezpieczeństwie Click To Pray mogą wpłynąć na użytkowników?
Jakie zmiany w bezpieczeństwie Click To Pray mogą wpłynąć na użytkowników?
W ostatnim czasie ujawniono podatności w aplikacji Click To Pray, które mogły pozwalać na pobieranie danych użytkowników oraz ominięcie weryfikacji adresu e-mail. Na szczęście, po interwencji, autoryzacja w aplikacji została poprawiona. Teraz, gdy użytkownik żąda swojego identyfikatora, otrzymuje pełne informacje o swoim koncie.
Jednakże, gdy użytkownik przesyła identyfikator innej osoby, aplikacja zwraca jedynie dane publicznego profilu. Niestety, proces ten odbył się bez jakiejkolwiek informacji zwrotnej dla badaczki, co wskazuje na potrzebę lepszej komunikacji w takich sytuacjach.
Programistom aplikacji webowych i interfejsów API zaleca się, aby zwracali szczególną uwagę na spójne wdrażanie mechanizmów uwierzytelniania i autoryzacji. Kluczowe jest, aby zalogowany użytkownik miał ograniczony dostęp do kont innych użytkowników.
Nadal istnieje wiele podatności w tych mechanizmach, co potwierdza pierwszy punkt listy OWASP Top 10 na 2025 rok.
Na podstawie: Źródła
