Comments 38
Ну хоть телефонными номерами не светят.
+1
С одной стороны да, неприятно. С другой вспоминаются гостевых книги десятилетней давности, где тоже надо было вводить имя и e-mail и они выводились прямо на странице, а e-mail даже делался ссылкой.
Как-то выжили всё-таки.
Как-то выжили всё-таки.
+7
Мне вот интересно, а автор пробовал для начала связаться с владельцами сайта перед тем как выкатывать в паблик информацию?
Я понимаю что это не совсем уязвимость, но все-же.
Я понимаю что это не совсем уязвимость, но все-же.
-53
Мне оперативно ответили, подтвердили уязвимость и через несколько часов API второй версии был прикрыт.
Я может неправильно понял, но вот же автор подтверждает закрытие уязвимости?
+8
текст читать пробовали?
+23
Объясню свою мысль почему я спросил:
— Описано, что выявлена ошибка
— Описано, что ошибка исправлена (оперативно и все такое)
А потом вдруг написано что с в недрением новой версии АРI работает и старая:
После прихода третьей версии, вторая версия продолжала работать.
Как всегда, простейшая невнимательность в нашей профессии может привести к печальным последствиям…
Вот я и предположил что где-то случайно восстановили старую ошибку и автор решил пнуть через хабр.
— Описано, что выявлена ошибка
— Описано, что ошибка исправлена (оперативно и все такое)
А потом вдруг написано что с в недрением новой версии АРI работает и старая:
После прихода третьей версии, вторая версия продолжала работать.
Как всегда, простейшая невнимательность в нашей профессии может привести к печальным последствиям…
Вот я и предположил что где-то случайно восстановили старую ошибку и автор решил пнуть через хабр.
-2
ой
0
Мне прийдется ответить, чтобы это не выглядело как уязвимость.
Это API действительно пытались сканировать. Мы добавили в ответы специально зарегистрированные нами email'ы, чтобы узнать кто на них начнет отправлять спам и является заказчиком. Эти email мы перемешали с тем, что были добавлены в тело комментариев и доступны в открытом доступе без API.
Это API действительно пытались сканировать. Мы добавили в ответы специально зарегистрированные нами email'ы, чтобы узнать кто на них начнет отправлять спам и является заказчиком. Эти email мы перемешали с тем, что были добавлены в тело комментариев и доступны в открытом доступе без API.
-3
Т.е. вы считаете, что кто-то парсил комментарии без email с целью рассылки спама?
0
Комментарии и так доступны в публичной части сайта и не являются персональной информацией. Единственное, к чему можно попытаться достучаться дополнительно через API — это email.
0
Тогда не понятно как в моём отзыве оказался мной указанный email.
+2
Вы думаете такая база нужна только с целью рассылки спама?)
0
А когда узнаем всё это, то что будем делать?
0
Меня Розетка неприятно удивила, прислав после смены пароль в письме в открытом виде. Закралось подозрение, что они их так и хранят.
-4
Нет, пароли хранятся в sha1 с солью
+5
Если так и хранят, то пришлют его же при восстановлении.
А если просто продублировали один раз в письме, это не говорит совершенно ни о чем, не нужно бредить на пустом месте.
А если просто продублировали один раз в письме, это не говорит совершенно ни о чем, не нужно бредить на пустом месте.
+4
К чему такая агрессия? Я просто поделился впечатлениями.
А в общем, всегда считал, что присылать пароль по почте — моветон.
А в общем, всегда считал, что присылать пароль по почте — моветон.
+2
мне озон при восстановлении прислал пароль в открытом виде
0
Уязвимости в любой системе возможны, какая бы она крупная/крутая/солидная не было.
А вот «оперативно ответили и устранили» — это реально плюс. Буду продолжать пользоваться розеткой.
А вот «оперативно ответили и устранили» — это реально плюс. Буду продолжать пользоваться розеткой.
+8
Без указания email-а нельзя опубликовать отзыв;
Все отзывы проходят модерацию;
Не понятно одно. Зачем вообще e-mail нужен для того, чтобы отзыв оставить свой? Для того чтобы глупость не писали, так там же модерация есть.
0
Может мне кто-то объяснить причину слива моей кармы? Вроде пытался донести посыл, что нужно быть внимательней, а получил минуса прямо в карму.
-3
Заголовок желтоват.
+2
Sign up to leave a comment.
Персональные данные пользователей Rozetka.ua в публичном доступе