Исследователь нашел баг, позволявший удалить любой пост на платформе Medium

Независимый исследователь и пентестер Аллан Джей Даманхаг (Allan Jay Dumanhug) рассказал в своем блоге, что в июне 2016 года его удалось обнаружить баг в платформе Medium. «Я перебирал различные возможности и тестовые сценарии, при помощи которых можно было бы удалить историю любого пользователя. К сожалению, в итоге я обнаружил опасный баг», — рассказывает исследователь.

Проблема связана с функцией Request Story, ведь платформа позволяет любому пользователю создать собственную публикацию, а затем запросить у другого пользователя разрешение на добавление к тексту его истории. Ее автор должен будет ответить на запрос и разрешить это действие. Каждая публикация в Medium обладает уникальным идентификационным номером, 12 символов длиной.

Исследователь обнаружил, что во время редактирования собственной публикации он может добавить к ней другую свою публикацию, и при этом удается перехватить HTTP-запрос и подменить ID на ID чужого поста.

Исходный HTTP-запрос

Так как чужая история после этого добавляется к публикации (без ведома автора), после этого появляется возможность отредактировать или удалить ее вовсе.

Обновленная версия запроса

Даманхаг пишет, что вместо атаки на блог президента Барака Обамы, он все-таки решил сообщить об уязвимости разработчикам Medium. В итоге исследователю выплатили вознаграждение в размере $350, а уязвимость в настоящий момент уже была устранена.

Фото: Techcrunch