Захват аккаунта без единого щелчка мыши

[AlentaM]

Заголовок кликбейтный. Мышкой кликать всё же придётся.

[Adm1ngmz]

Точнее не скажешь.
Перевод)

[RiddickABSent]

Этот отчёт ушёл в сеть так как Владелец сервиса отказался отблагодарить за такое Bug Bounty WhiteHat, я так понимаю.

[vitiok78]

За JWT без подписи нужно, конечно, выгонять из профессии

[Arlekcangp]

Так тут дело не в том, есть подпись или нет. Сервис выдал чужой токен, получив только электронную почту. Подпись не изменила бы ничего. Выгонять подозреваю некого, т к это ошибка уровня даже не джуна, а индуса, которого взяли на подработку. (Сталкивался с подобным кодом. Фирма перепродавала таких вот "пОгрОмистов", выдавая их за опытных, само собой)

[vitiok78]

Ну да, сервис выдал чужой токен. И за это тоже нужно выгонять из профессии. Но если бы токен был подписан, то хакер не смог бы его изменить, таким образом он не смог бы забронировать билеты