- Aplikasi Shot on OnePlus berisi kelemahan keamanan.
- Cacat nama, negara, dan alamat email pengguna yang terpapar.
- OnePlus agak mengatasi kelemahan keamanan.
Menurut a 9to5Google laporan yang diterbitkan sebelumnya hari ini, kelemahan keamanan menyebabkan "ratusan" alamat email bocor melalui aplikasi Shot on OnePlus. OnePlus melakukan pra-instal aplikasi pada OnePlus 7 Pro dan ponsel OnePlus lainnya.
Seperti namanya, Shot on OnePlus menunjukkan foto orang lain dan memungkinkan Anda mengunggah foto Anda sendiri. Saat Anda mengunggah foto, Anda dapat mengubah judul, lokasi, dan deskripsinya. Shot on OnePlus membutuhkan login untuk mengunggah foto, dengan pengguna dapat mengubah nama profil, negara, dan alamat email mereka di dalam aplikasi dan situs web.
Sayangnya, 9to5Google menemukan API - terutama digunakan untuk mendapatkan foto publik dan membuat tautan antara aplikasi dan server OnePlus - agar mudah diakses dan tanpa efek API yang khas. Diinangi pada open.oneplus.net, API dapat diakses oleh siapa saja dengan token akses dan tampaknya berisi data pengguna yang sensitif.
Yang memperburuk masalah adalah "gid" di API. Gid adalah kode alfanumerik yang memungkinkan API mengidentifikasi pengguna tertentu. Terdiri dari dua bagian: dua huruf yang mengungkapkan dari mana pengguna berasal dan nomor unik. Misalnya, CN472834 adalah pengguna dari Cina dan EN593874 adalah pengguna dari tempat lain.
API yang rentan menggunakan gid untuk menemukan foto yang diunggah pengguna atau menghapus foto tersebut. API juga menggunakan gid untuk mendapatkan informasi pengguna, seperti nama, negara, dan email mereka, dan memperbarui informasi itu.
Seolah-olah itu tidak cukup buruk, Anda dapat menelusuri nomor gid untuk menemukan pengguna lain.
Berita baiknya adalah API tidak lagi membocorkan alamat email dan gid dari mereka yang secara publik mengunggah foto. OnePlus juga membuatnya jadi hanya aplikasi Shot on OnePlus yang menggunakan API 9to5Google catatan yang dapat dengan mudah dilewati. Akhirnya, API mengaburkan alamat email dengan tanda bintang.
menjangkau OnePlus untuk berkomentar tetapi tidak menerima tanggapan pada saat pers.
