В приложении для гей-знакомств Grindr обнаружили уязвимость, которая позволяла кому угодно зайти в профиль пользователя. Помимо информации об ориентации, так можно было узнать и ВИЧ-статус человека.

Из-за уязвимости третьи лица могли зайти в пользовательский аккаунт, зная только адрес электронной почты, привязанный к нему. Ошибку обнаружил французский исследователь безопасности. Её уже устранили.

Чтобы воспользоваться уязвимостью, нужно было ввести email в форму для сброса пароля. Сайт отправлял ответ, который можно было посмотреть через инструменты разработчика в браузере. В ответе содержался ключ, который было достаточно вставить в URL, чтобы получить доступ к аккаунту.

Как заявил представитель Grindr, в компании надеются, что данной уязвимостью не успел воспользоваться ни один злоумышленник.

Источник: Ferra