29 мар 2018 29.03.2018

[BugBounty] Раскрытие 5 миллионов ссылок в приватные чаты Telegram и возможность редактирования любой статьи telegra.ph

Исследователь безопасности обнаружил в Telegram для web 3 уязвимости:

Disclosure Information - позволяет получить доступ к 5 000 000 ссылкам для доступа к приватным чатам. В данный момент уязвимость не исправлена и разработчики не исправляют её уже 3,5 месяца.
Open Redirect.
CSRF - позволяет отредактировать любую статью на telegra.ph, если автор статьи просто перейдет по ссылке.

Подробности по ссылке:

2092 просмотров

0

5 комментариев

Таможенный дым

29.03.2018

Комментарий недоступен

Ответить

Развернуть ветку

Престижный Кирилл

29.03.2018

Раскрывается 5 000 000 ссылок для доступа в приватные чаты

А там есть хотя бы один приватный чат?
Я как-то не думаю, что чат, админы в открытом доступе публикуют ссылку на вход является приватным.

Ответить

Развернуть ветку

Глухой Илья

29.03.2018

Вот например https://t.me/joinchat/AAAAAEI3MkvLqlXEPSUahg

Ответить

Развернуть ветку

Престижный Кирилл

29.03.2018

Вопрос-то не в этом. Если у них закрытая группа, а ссыль скинута в открытый чат, то уязвимости нет, они просто тупые
Как проверить, что они этого не делали?

Ответить

Развернуть ветку

Компьютерный жар

29.03.2018

Ответить

Развернуть ветку

Написать комментарий...

Читать все 5 комментариев

[{"id":1,"label":"Header, 100%x250: D","provider":"adfox","adaptive":["desktop"],"adfox_method":"createAdaptive","auto_reload":true,"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"ezfl"}},"distribution":"top-desktop"},{"id":2,"label":"Header, 1200x400\/600: M","provider":"adfox","adaptive":["phone"],"auto_reload":true,"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"ezfn"}},"distribution":"top-mobile"},{"id":4,"label":"Article Branding top","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"p1":"cfovy","p2":"glug"}}},{"id":5,"label":"300x600: D","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"ezfk"}},"distribution":"right-sidebar"},{"id":6,"label":"Above the Comments: D","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"pp":"h","ps":"cndo","p2":"ffyh"}},"distribution":"before-comments-desktop"},{"id":7,"label":"Above the Comments: M","provider":"adfox","adaptive":["desktop","tablet","phone"],"adfox":{"ownerId":228129,"params":{"p1":"byswn","p2":"fjxb"}},"distribution":"before-comments-mobile"},{"id":12,"label":"Topbar button: D","provider":"adfox","adaptive":["desktop","tablet"],"auto_reload":true,"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"fdhx"}}},{"id":13,"label":"In Article: M","provider":"adfox","adaptive":["phone"],"adfox":{"ownerId":228129,"params":{"pp":"h","ps":"cndo","p2":"flvn"}}},{"id":15,"label":"In-Feed Teaser: DM","provider":"adfox","adaptive":["desktop","tablet","phone"],"adfox":{"ownerId":228129,"params":{"p1":"byudv","p2":"ftjf"}}},{"id":16,"label":"Topbar button: M","provider":"adfox","adaptive":["tablet","phone"],"adfox":{"ownerId":228129,"params":{"p1":"ccydt","p2":"ftwx"}}},{"id":17,"label":"Stratum: D","provider":"adfox","adaptive":["desktop"],"auto_reload":true,"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"fzvb"}}},{"id":18,"label":"Stratum: M","provider":"adfox","adaptive":["tablet","phone"],"auto_reload":true,"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"fzvc"}}},{"id":19,"label":"Under the News Teaser: DM","provider":"adfox","adaptive":["desktop","tablet","phone"],"auto_reload":true,"adfox":{"ownerId":228129,"params":{"p1":"cmtwf","p2":"gazs"}}},{"id":20,"label":"Leftbar button: D","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"p1":"chfbk","p2":"gnwc"}}},{"id":21,"label":"Header Microteaser: D","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"gtjk"}}},{"id":23,"label":"In Article: D","provider":"adfox","adaptive":["desktop"],"adfox":{"ownerId":228129,"params":{"pp":"g","ps":"cndo","p2":"hiig"}}}]

null