- La aplicación Shot on OnePlus contiene una falla de seguridad.
- La falla expuso los nombres de los usuarios, los países y las direcciones de correo electrónico.
- OnePlus de alguna manera abordó la falla de seguridad.
De acuerdo a una 9to5Google informe publicado hoy, una falla de seguridad causó que "cientos" de direcciones de correo electrónico se filtraran a través de la aplicación Shot on OnePlus. OnePlus preinstala la aplicación en OnePlus 7 Pro y otros teléfonos OnePlus.
Como su nombre lo indica, Shot on OnePlus muestra las fotos de otras personas y te permite subir las tuyas. Cuando sube una foto, puede cambiar su título, ubicación y descripción. Shot on OnePlus requiere un inicio de sesión para cargar fotos, y los usuarios pueden cambiar sus nombres de perfil, países y direcciones de correo electrónico dentro de la aplicación y el sitio web.
Desafortunadamente, 9to5Google descubrió que una API, que se usa principalmente para obtener fotos públicas y hacer el enlace entre la aplicación y los servidores de OnePlus, es de fácil acceso y sin los valores típicos de API. Alojado en open.oneplus.net, la API es accesible para cualquier persona con un token de acceso y aparentemente contiene datos confidenciales del usuario.
Para empeorar las cosas es el "gid" en la API. El gid es un código alfanumérico que permite a la API identificar usuarios específicos. Se compone de dos partes: dos letras que revelan de dónde es un usuario y un número único. Por ejemplo, CN472834 es un usuario de China y EN593874 es un usuario de otro lugar.
La API vulnerable utiliza el gid para encontrar las fotos cargadas de un usuario o eliminar dichas fotos. La API también utiliza el gid para obtener la información de un usuario, como su nombre, país y correo electrónico, y actualizar esa información.
Como si eso no fuera lo suficientemente malo, podría recorrer los números de un gid para encontrar otros usuarios.
La buena noticia es que la API ya no filtra las direcciones de correo electrónico y gid de aquellos que suben fotos públicamente. OnePlus también lo hizo para que solo la aplicación Shot on OnePlus use la API, aunque 9to5Google notas que pueden pasarse por alto fácilmente. Finalmente, la API oscurece las direcciones de correo electrónico con asteriscos.
contactó a OnePlus para obtener comentarios, pero no recibió una respuesta al momento de la publicación.
