Голосовые сообщения части пользователей «ВКонтакте» обнаружили в открытом доступе

Можно узнать даже страницу отправителя.

В закладки
Аудио

Обновлено в 20:15: разработчики VK Coffee и Kate Mobile объяснили, что использовали стандартные средства API «ВКонтакте».

В разделе «Документы» во «ВКонтакте» обнаружили голосовые сообщения части пользователей. Чтобы их прослушать, достаточно ввести в поиске по документам «audiocomment.3gp». На уязвимость обратили внимание на «Дваче».

По словам пользователей имиджборда, баг существует уже больше месяца. На момент написания заметки в результатах поиска отображаются более 2 тысяч записей. Если кликнуть на любой из файлов, то можно будет определить, кто его записал — в ссылке содержится id страницы.

Источники TJ, знакомые с ситуацией, пояснили, что уязвимость может быть связана не с дырой во «ВКонтакте», а с недоработками разработчиков сторонних клиентов. Вероятнее всего, доступны только аудиосообщения, отправленные через приложения вроде VK Coffee или Kate Mobile.

Во «ВКонтакте» рассказали TJ, что соцсеть не хранит аудиозаписи в формате «audiocomment.3gp». Представители сервиса пояснили, что причиной проблемы стали неофициальные приложения. Соцсеть отключила поиск по подобным файлам.

Уязвимости «ВКонтакте» нет — все голосовые сообщения в приложении «ВКонтакте» защищены. Никто, кроме самих участников переписки, не сможет получить к ним доступ.

По нашим данным, в раздел «Документы» попала часть аудиосообщений, которые пользователи загружали через сторонние неофициальные приложения. Мы настоятельно рекомендуем использовать официальные приложения ВКонтакте.

пресс-служба «ВКонтакте»

TJ обратился к одному из разработчиков стороннего клиента Kate Mobile. Он объяснил, что приложение использует те же методы работы с API, на которых построен официальный клиент.

Видимо была дыра в API «ВКонтакте», которая позволяла поиском увидеть те документы, которые «голосовые сообщения». Сейчас она уже закрыта, что очень хорошо, спасибо разработчикам.

разработчик Kate Mobile

В Telegram-канале приложения VK Coffee заявили, что непричастны к инциденту. Разработчик Эдуард Безменов пояснил, что не менял реализацию голосовых сообщений и не использует формат .3gp.

Даже если проблема возникла в следствии неофициального клиента — это проблема разработчиков ВКонтакте в API, которые не поставили соответствующие ограничения и фильтры.

Эдуард Безменов
разработчик VK Coffee

#уязвимости #вконтакте #сервисы #соцсети #новости

{ "author_name": "Дамир Камалетдинов", "author_type": "editor", "tags": ["\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438","\u0441\u043e\u0446\u0441\u0435\u0442\u0438","\u0441\u0435\u0440\u0432\u0438\u0441\u044b","\u043d\u043e\u0432\u043e\u0441\u0442\u0438","\u0432\u043a\u043e\u043d\u0442\u0430\u043a\u0442\u0435"], "comments": 270, "likes": 110, "favorites": 21, "is_advertisement": false, "subsite_label": "tech", "id": 91973, "is_wide": false, "is_ugc": false, "date": "Mon, 01 Apr 2019 17:01:47 +0300" }
{ "id": 91973, "author_id": 50011, "diff_limit": 1000, "urls": {"diff":"\/comments\/91973\/get","add":"\/comments\/91973\/add","edit":"\/comments\/edit","remove":"\/admin\/comments\/remove","pin":"\/admin\/comments\/pin","get4edit":"\/comments\/get4edit","complain":"\/comments\/complain","load_more":"\/comments\/loading\/91973"}, "attach_limit": 2, "max_comment_text_length": 5000, "subsite_id": 214344, "last_count_and_date": null }

270 комментариев 270 комм.

Популярные

По порядку

Написать комментарий...
142

Для тех, кто отправляет голосовые сообщения, есть отдельный котел в аду.

Ответить
27

Нужно срочно ввести голосовые на TJ

Ответить
0

В приложении есть значок наушников, при нажатии на который робот зачитывает текст. Удобно слушать лонгриды Персианинова как подкасты.

Ответить
22

Три уровня развития
- те, кто в 2019 ещё пользуются ВК
- те, кто отправляет голосовухи
- те, кто пользуется приложениями от хуй пойми каких разработчиков

Ответить
–8

Со вторым согласен, а на счет остальных пунктов скажу лишь что ты тупой

Ответить
21 комментарий
6

Единственное приложение (я имею ввиду, из широкоиспользуемых), в котором есть сообщения и которое удобнее, чем ВК — Telegram.
ВК лучше Фейсбука, Одноклассников, Яндекс.Дзена, Пикабу и т. д.
Так что прекращать им пользоваться пока рано.

Ответить
4 комментария
–8

А чем нужно пользоваться в 2019? Хернёй типа Telegram? Или всё-таки аля Tox?

Ответить
5 комментариев
15

Согласен, бесят некоторые люди, которые отправляют голосовые по 5-10 минут, а потом искренно удивляются и расстраиваются, что ты его не прослушал

Ответить
4

Слава Богу что в Инсте есть ограничитель в 1 минуту для войса.

Ответить
1 комментарий
6

Знаешь, а вот я недавно перечитывал в телеграме переписку со старым другом, с которым мы давно не общались, и у нас там было в 2014 году тонна голосовых.

И переслушивать их было круто.

Ну и да, иногда голосовые удобны как замена звонку.

Ответить
19

со старым другом

тонна голосовых

Не удивительно, что ты на тж сидишь.

Ответить
3 комментария
7

да и тем более общается через вк

Ответить
1

У мужчин только один хуй, но два отверстия...

Ответить
1 комментарий
5

Зато из этого котла голосовые сообщения не будут утекать наружу

Ответить
0

Записала тебе войсик в личку

Ответить
1

Но я никогда не узнаю что в нем, потому что не слушаю войсы.

Ответить
2 комментария
0

а мне можно?

Ответить
0

Ну, если вам принципиально, с кем вариться в аду, тогда конечно вам повезло!
)))))))))))))))))))))

Ответить
0

)))))))))))))))))))))

Ответить
0

Надеюсь Телеграм добавит опцию распознавания аудиосообщений и конвертацию их в текст. Пока это решается только ботами, но их нельзя добавить в приватный чат.

Ответить
30

Пизда Дамиру.

Ответить
57

Предлагаю пользователям двача сходить нахуй)

Ответить
1

Расскажите хоть, пошёл там кто с двача со своей травлей?)

Ответить
26 комментариев
16

Ещё и Никита отметился

Ответить
8

а вот походу тжшники потихоньку подтягиваются

Ответить
3 комментария
8

Зная Дамира, двачерам лучше сидеть и не высовываться

Ответить
0

может уж лучше сходить, чем не высовываться?

Ответить
7 комментариев
0

интересно, как они его вычислили)

Ответить

Комментарий удален

Комментарий удален

Комментарий удален

8 комментариев

Комментарий удален

Комментарий удален

17 комментариев

Комментарий удален

Комментарий удален

Комментарий удален

12

TJ обратился к разработчикам Kate Mobile, но не получил оперативного ответа.

Ну вы поняли

Ответить
42

Они голосовым ответили

Ответить
2

Так вроде разрабочик под домашним арестом сидит.

Ответить
4

Дамир маляву черканул

Ответить
1 комментарий
0

Их двое. Второй на свободе.

Ответить
17

Лол, да в дырявом вк до сих пор не убрали баг с поиском документов. Просто нажимаете прикрепить документ, далее в поиске вводите любое интересующее слово и вуаля. В поиске вылетают документы, (как я понял) пересылаемые другими в лс. Багу уже миллион лет. Например, если написать «Катя» выдаёт за 14 февраля обложку какой-то блоггерШИ, которую по всей видимости ей нарисовал и переслал дизайнер.

Ответить
7

ониж сказали, что это на баг а фича

Ответить
5

Документы, которые ты просто загружаешь или пересылаешь в лс, всегда будут приватные по дефолту, а то, что кидаешь на стеночку и во всякие другие места - публичное

Ответить
1

Не знаю как сейчас, но когда баг обнаружили на протяжении около месяца-полутора реально находили всякие интересные штуки из лс.

Ответить
0

Не всегда. Был баг, но вк, конечно, не признается.

Ответить
0

Блоггериня! Блоггерша это оскорбительно!

Ответить
16

TJ обратился к разработчикам Kate Mobile

Через ФСИН почту?

Ответить
8

Двощеры собрались дудосить TJ? Удачи, фигле.

Ответить
5

Не надо шутить с бордой... Это другие ребята...Это 250 тысяч отборных битардов! Они всё разнесут! Они весь сайт заддосят за один час!

Ответить
4 комментария
0

прошло 2,5 часа
как успехи?

Ответить
10

Абу найден мёртвым, Дамира арестовали за убийство. Иду залог плотить.

Ответить
1

Бля, ну такое не прощается...

Ответить
4

Лол, а я никогда и не скрывал)

Ответить
7 комментариев
6

Дамир, давайте там уже прямой эфир запускайте, Пуш надо ещё и трансляцию в твиче

Лол

Ответить
13

открытая война двача с тж эт чет новенькое
мне нравится

Ответить
5

Только непонятно, зачем Дамир начал «псина» итд отвечать. Думает напугать их этим? Это же ещё больше разжигает накал страстей. Просто промолчать на выпады было бы разумнее. Зачем кормить и хамить в ответ?

Ответить
2 комментария
6

берем китти в заложники

Ответить
2

Когда в следующий раз будем искать кремлеботов на ТЖ - вы знаете откуда начинать

Ответить
6 комментариев
4

Дамирка просто нагрубил, а надо было показать свое духовное превосходство, как мастера делают
вот так
https://coub.com/view/11l0n7

Ответить
0

Ебуняша владелец того кагала?

Ответить
3

Все так ненавидят войсы, потому что свой голос в них не переносят?

Ответить
10

Меня лично бесят войсы, потому что ты что-то спрашиваешь у человека, а вместо ответа получаешь долбаное аудио, которое как-то нужно прослушать. А я вот, например, не хожу в наушниках 24/7 и на работе их искать и доставать тоже не очень удобно.

Ответить
7

Так к уху прикладываешь и автоматом из динамика как при разговоре звук выдается.

Ответить
3 комментария
6

Моя подруга общается исключительно войсами. Но я не прошу ее писать сообщения, потому что лучше слушать войсы, чем видеть, как запятые отделяются с двух сторон пробелами.

Ответить
5 комментариев
3

Читать тупо удобнее, как и искать по тексту.

Ответить
5

драмы больше, чем в половине сериалов

Ответить
0

Интересно, что произошло?

Ответить
6

Ктото пришёл

Ответить
1

Суицид походу. Сам недавно был в подобной ситуации. И фраза вроде "ему никто не мог помочь" сразу выдает всю суть.

Ответить
1

>2019
>ВК

Ответить
2

Это все еще самая пездатая платформа для обсуждения контента. Да и для самого контента тоже.

Ответить
0

Ну есть тамблер, телега, инстаграм в конце концов

Ответить
3 комментария
4

У меня пусто

Ответить
0

пофиксили

Ответить
0

Ещё есть пара штук по запросу ".3gp"

Ответить
3

все мы дети елистратова

Ответить
0

Нет, ты

Ответить
0

С сообщением в моем скрине сложно не согласиться, мне аж на мгновение захотелось удалиться.

Ответить
3

Войсы - топ
Спамить войсами онли - хуйня
Аудиосообщения (я из телеграма) очень удобные, особенно когда нужно как можно более ярко выразить свои эмоции и когда много чего есть рассказать.

Ответить
0

Кто бы ещё твои высер...войсы слушал

Ответить
0

Я тебя своё говно слушать не заставляю, так что нипанятна нахуя ты это тут написал)
Остряк?

Ответить
4 комментария
3

Эй алло, где ветка с фотографией?

Ответить
0

Что за фотка?
Было 189 комментов, обновил - стало 162. Блееед

Ответить
0

Че там было? Судя по плюсам, что-то эпичное

Ответить
0

Да там чувак спросил кто пользуется ВК до сих пор, его фотку запостили из его профиля.

Ответить
3

Дамирчик солнышко

Ответить
2

Кому как, а лично мне нравится контакт, дизайн и юзабилити просто идеальный.
Настройки в нём настолько отструктурировали, что с ними разберётся даже домохозяйка, в отличии от сервисов гугла, потому как если мне там что-то надо подправить в настройках, от одной этой мысли захода в небытие меня передёргивает, ибо я уже заранее знаю, что с вероятность в 90% я там хрен что сразу найду и придётся перелопачивать всё.

Ответить
0

Удобно, наверное, сравнивать одну небольшую социальную сеть и несколько тысяч сервисов огромной компании. Или речь о каком-то конкретном продукте?

Ответить
0

Да наверное ко всем, я во всех их интерфейсах теряюсь, ну точнее не буду голословным это Adsense, Gmail, YouTube, так же овном была и google+ но это уже прикрыли к счастью ума хватило!
Чем плодить монстра перевязывая все сервисы вдоль и поперёк между собой, лучше бы разбили на маленькие не связанные друг с другом, а теперь я думаю эту кашу уже никакие спецы так просто не разгребут. А потому такой бардак будет у них всегда.

Ответить
6 комментариев
2

сделал вывод, что двачеры одинакового уровня развития с любителями навального

Ответить
1

Будете знать, любители голосовых!

Ответить
1

С 1 апреля, TJ

Ответить
1

То есть?

Ответить
1

Надеюсь когда на tj наконец-то появятся аудио комментарии, такой хуйни не будет.

Ответить
1

Всмысли не будет? Будет! Но специально.

Ответить
1

Так это загруженные вручную, там таких файлов 100 за все время.

Ответить
1

Веселый тред с травлей получается, всем советую почитать

Ответить
1

Двачеры еще более ебнутые, чем наша власть

Ответить
0

Как вы вообще пользуетесь этим ВК?
Удалил в 2014 и не жалею.

Ответить
0

Почему ссылка на двач теперь не работает? Есть архив треда?

Ответить
0

В /б/ уже третий тред пошёл

Ответить
1

Какой-то он совсем вяленький.

Ответить
0

Дамиру Камалетдинову сложно было провести пруфчек насчет VK Coffee? Или это умышленная некомпетентность?

Ответить
0

А в чем проблема?

Ответить
0

в том, что разрабы vk coffee уже опровергли

Ответить
20 комментариев
0

А на самом деле...

Ответить
0

они этого заслужили

Ответить
0

Не сказал, бы что это связано со сторонними прогами. Я юзаю оф клиент ВК на мобиле, я как-то ехал за рулем, мне надо было кое-что сообщить и я это надиктовал, так как набирать едя в тачке неудобно. Так вот мой войс отправился как документ и у него был формат .ogg.

Ответить
0

У меня чет это не работает. Все вроде правильно делаю , но не работает.

Ответить
0

Ну и помойкаа

Ответить
0

Надеюсь фиксить не будут, охота ещё половить лулзов

Ответить
0

Заметил еще одну уязвимость, если пришло уведомление на почту от ВК, о том что, у тебя есть одно сообщение отправное голосовым способом, у него есть прямая ссылка на 3gp. Перейти по этой ссылки можно даже не авторизованным пользователям! Это я еще заметил летом 2018.

Ответить
0

Прямой эфир

[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "fizc" } } }, { "id": 4, "label": "240х200_mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "flbq" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfk" } } }, { "id": 6, "disable": true, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byswn", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "cndo", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223677-0", "render_to": "inpage_VI-223677-0-130073047", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=cndo&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Плашка на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudv", "p2": "ftjf" } } }, { "id": 16, "label": "Кнопка в шапке мобайл", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "ccydt", "p2": "ftwx" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvc" } } } ]
Не пропустите самое важное,
что происходит в интернете
Подписаться на push-уведомления