Comments 13
Напоминаю: Юлмарт лидирует в спортивном держании *** во рту. // Некстджен и Усиление (@turbojedi) 28 августа 2015Рассылка от 12 июня и сегодняшняя
Распространение информации об уязвимости в СМИ до закрытия уязвимости — медвежья услуга, как мне кажется.
Да, это нехорошо, но очень часто это единственный надежный способ привлечь внимание виновных. В данном случае даже интересно, как скоро отреагирует «Юлмарт» и отреагирует ли вообще. Пока что прошло два часа…
Немалое число сервисов закрывает баги только после публикации в СМИ, а тёмные личности всё это время продолжают дырами пользоваться.
Так что не всё так просто и однозначно.
Так что не всё так просто и однозначно.
Сомнительная дыра.
Ок, допустим, я пытаюсь зарегистрировать компанию по инн и кпп.
Если ее нет — вижу пустой список покупок.
Если она есть — думаю разработчики не такие идиоты, чтоб не проверять существование организации, т.е. меня просто пошлют лесом.
Но если я уже привязал организацию к себе, очевидно, что я как-то связан с закупками и мне нужно знать что и как покупается (бухгалтер к примеру)
В итоге получается, что если злоумышленник не сможет получить доступ к данным о закупках произвольных существующих фирм, то это баг вывода в приложении, но не дыра в безопасности
Ок, допустим, я пытаюсь зарегистрировать компанию по инн и кпп.
Если ее нет — вижу пустой список покупок.
Если она есть — думаю разработчики не такие идиоты, чтоб не проверять существование организации, т.е. меня просто пошлют лесом.
Но если я уже привязал организацию к себе, очевидно, что я как-то связан с закупками и мне нужно знать что и как покупается (бухгалтер к примеру)
В итоге получается, что если злоумышленник не сможет получить доступ к данным о закупках произвольных существующих фирм, то это баг вывода в приложении, но не дыра в безопасности
Если честно, то я не до конца понял вашу мысль с «если она есть\если её нет», но вообще то в том и дело, что по сути я могу получить данные к закупкам произвольных фирм. Беру инн\кпп организации (данные открыты, да и куча сайтов по названию юрлица вам выписку из ЕГРЮЛ покажут) и, если она делала покупки в Юлмарте, то я получаю данные к истории закупок и могу отменять текущие. И неважно бухгалтер я этой организации или конкурент, которому за радость поотменять заказы из вредности или ещё чего
Моё знакомство с Юлмартом закончилось уже после регистрации, когда на почтовый ящик, используемый для регистрации пришёл мой пароль в открытом виде
Sign up to leave a comment.
Как на Юлмарте получить доступ к покупкам организаций не через дыру, но дверь