- De Shot on OnePlus-app bevat een beveiligingsfout.
- De fout heeft de namen, landen en e-mailadressen van gebruikers blootgelegd.
- OnePlus loste het beveiligingsprobleem enigszins op.
Volgens een 9to5Google rapport eerder vandaag gepubliceerd, een beveiligingsfout zorgde ervoor dat "honderden" e-mailadressen lekten via de Shot on OnePlus-app. OnePlus installeert de app vooraf op de OnePlus 7 Pro en andere OnePlus-telefoons.
Zoals de naam al doet vermoeden, laat Shot on OnePlus foto's van anderen zien en kun je die van jezelf uploaden. Wanneer u een foto uploadt, kunt u de titel, locatie en beschrijving ervan wijzigen. Shot op OnePlus vereist een login voor foto-uploads, waarbij gebruikers hun profielnamen, landen en e-mailadressen in de app en website kunnen wijzigen.
Helaas, 9to5Google vond een API - voornamelijk gebruikt om openbare foto's te maken en de koppeling tussen de app en de servers van OnePlus te maken - gemakkelijk toegankelijk en zonder typische API-effecten. Gehost op open.oneplus.net, de API is toegankelijk voor iedereen met een toegangstoken en bevat schijnbaar gevoelige gebruikersgegevens.
Het slechter maken van zaken is de "gid" in de API. De gid is een alfanumerieke code waarmee de API specifieke gebruikers kan identificeren. Het bestaat uit twee delen: twee letters die onthullen waar een gebruiker vandaan komt en een uniek nummer. CN472834 is bijvoorbeeld een gebruiker uit China en EN593874 is een gebruiker van ergens anders.
De kwetsbare API gebruikt de gid om geüploade foto's van een gebruiker te vinden of genoemde foto's te verwijderen. De API gebruikt ook de gid om informatie van een gebruiker, zoals zijn naam, land en e-mail, op te halen en die informatie bij te werken.
Alsof dat nog niet erg genoeg is, kun je door de nummers van een gid bladeren om andere gebruikers te vinden.
Het goede nieuws is dat de API niet langer de gid en e-mailadressen lekt van degenen die openbaar foto's uploaden. OnePlus heeft het ook gemaakt, zodat alleen de Shot on OnePlus-app de API gebruikt 9to5Google notities die gemakkelijk kunnen worden omzeild. Ten slotte verbergt de API e-mailadressen met sterretjes.
nam contact op met OnePlus voor commentaar, maar ontving geen reactie op perstijd.
