- Appen Shot on OnePlus innehåller en säkerhetsfel.
- Bristen utsatte användarnas namn, länder och e-postadresser.
- OnePlus behandlade något säkerhetsbristen.
Enligt a 9to5Google rapporten publicerad tidigare idag, orsakade en säkerhetsbrist "hundratals" e-postadresser läckte genom Shot på OnePlus-appen. OnePlus förinstallerar appen på OnePlus 7 Pro och andra OnePlus-telefoner.
Som namnet antyder visar Shot på OnePlus andra människors foton och låter dig ladda upp dina egna. När du laddar upp ett foto kan du ändra titel, plats och beskrivning. Shot på OnePlus kräver inloggning för fotouppladdningar, där användare kan ändra sina profilnamn, länder och e-postadresser i appen och webbplatsen.
Tyvärr, 9to5Google hittade ett API - främst används för att få offentliga foton och göra länken mellan appen och OnePlus-servrar - för att vara lättillgänglig och utan typiska API-värdepapper. API: n är värd på open.oneplus.net och är tillgänglig för alla med ett åtkomsttoken och till synes innehåller känslig användardata.
Att göra saken värre är "gid" i API: n. Nätet är en alfanumerisk kod som låter API: n identifiera specifika användare. Det består av två delar: två bokstäver som visar var en användare är ifrån och ett unikt nummer. Till exempel är CN472834 en användare från Kina och EN593874 är en användare från någon annanstans.
Det sårbara API: n använder gid för att hitta en användares uppladdade foton eller ta bort nämnda foton. API använder också gid för att få en användares information, till exempel deras namn, land och e-post, och uppdatera den informationen.
Som om det inte var tillräckligt dåligt kan du bläddra igenom ett gid-nummer för att hitta andra användare.
Den goda nyheten är att API inte längre läcker ut gid och e-postadresser för dem som offentligt laddar upp foton. OnePlus gjorde det också så att bara Shot på OnePlus-appen använder API: n 9to5Google anteckningar som enkelt kan förbikopplas. Slutligen döljer API e-postadresser med asterisker.
nådde ut till OnePlus för kommentar men fick inget svar inom presstiden.
