Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 2
10 лет назад прикрыли подобную багу на МойМир от Mail.Ru, в конце значения куки Mpop проставлялась почта юзера, поменяв которую, можно было полноценно пользоваться аккаунтом чужого мира. Но только надо было предотвратить некоторые запросы, инициируемые в js-ках.
Вот бы сюда еще "лучшие практики по предотвращению". Подозреваю, что это просто рандомный uuid и привязка его к IP, храним в БД вместе с ID и датой.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
IDOR в cookie-сессии, приводящий к массовому захвату аккаунтов