В недавнем обновлении пользователям была показана новая фича: подарки.

По факту подарок представляет из себя анимированный стикер, имеющий стоимость в "звездах" - новой внутренней валюте. Его можно будет приобрести и отправить любому пользователю.

Получив такой подарок, можно сохранить его у себя в профиле, либо конвертировать обратно в звезды - заплатив при этом 15% комиссию мессенджеру.

Через реестр электронных повесток, запущенный 18.09.2024, можно достать личные данные пользователей, через ID аккаунта на Госуслугах.

Уже к вечеру, после запуска сайта была обнаружена уязвимость, которая позволяет любому авторизованному пользователю посмотреть все личные данные призывников.

После авторизации можно отправить API-запрос, содержащий ID юзера на Госуслугах и получить всю информацию, включая ФИО, дату рождения, прописку, ИИН, СНИЛС, данные водительского удостоверения, паспорта и других документов.