Голосовые сообщения части пользователей «ВКонтакте» обнаружили в открытом доступе
Можно узнать даже страницу отправителя.
Обновлено в 20:15: разработчики VK Coffee и Kate Mobile объяснили, что использовали стандартные средства API «ВКонтакте».
В разделе «Документы» во «ВКонтакте» обнаружили голосовые сообщения части пользователей. Чтобы их прослушать, достаточно ввести в поиске по документам «audiocomment.3gp». На уязвимость обратили внимание на «Дваче».
По словам пользователей имиджборда, баг существует уже больше месяца. На момент написания заметки в результатах поиска отображаются более 2 тысяч записей. Если кликнуть на любой из файлов, то можно будет определить, кто его записал — в ссылке содержится id страницы.
Источники TJ, знакомые с ситуацией, пояснили, что уязвимость может быть связана не с дырой во «ВКонтакте», а с недоработками разработчиков сторонних клиентов. Вероятнее всего, доступны только аудиосообщения, отправленные через приложения вроде VK Coffee или Kate Mobile.
Во «ВКонтакте» рассказали TJ, что соцсеть не хранит аудиозаписи в формате «audiocomment.3gp». Представители сервиса пояснили, что причиной проблемы стали неофициальные приложения. Соцсеть отключила поиск по подобным файлам.
Уязвимости «ВКонтакте» нет — все голосовые сообщения в приложении «ВКонтакте» защищены. Никто, кроме самих участников переписки, не сможет получить к ним доступ.
По нашим данным, в раздел «Документы» попала часть аудиосообщений, которые пользователи загружали через сторонние неофициальные приложения. Мы настоятельно рекомендуем использовать официальные приложения ВКонтакте.
TJ обратился к одному из разработчиков стороннего клиента Kate Mobile. Он объяснил, что приложение использует те же методы работы с API, на которых построен официальный клиент.
Видимо была дыра в API «ВКонтакте», которая позволяла поиском увидеть те документы, которые «голосовые сообщения». Сейчас она уже закрыта, что очень хорошо, спасибо разработчикам.
В Telegram-канале приложения VK Coffee заявили, что непричастны к инциденту. Разработчик Эдуард Безменов пояснил, что не менял реализацию голосовых сообщений и не использует формат .3gp.
Даже если проблема возникла в следствии неофициального клиента — это проблема разработчиков ВКонтакте в API, которые не поставили соответствующие ограничения и фильтры.
#уязвимости #вконтакте #сервисы #соцсети #новости