[milos_rs]

Preneto sa linkedina gde se nalazi detaljniji izveštaj: https://www.linkedin.com/pulse/kako-sam-...kic-6e1pf/

Kad se udje u trenutno stanje aplikacije, prva stvar koja bode oči zove se adminBearerToken. Sam naziv nagoveštava da daje administratorske privilegije ukoliko se stavi u neki zahtev. 

   

Sadržaj istog za mnoge bi delovao kao obična žvrljotina, medjutim za bilo koga ko se bavio autentifikacijom/autorizacijom jasno je da je u pitanju JWT. Postoje online alati koji lako dekodiraju token i prikažu šta je "sakriveno".

   

posle lakog otkrivanja poddomena admin.ticketline.rs autor nastavlja:

Pristup svim klijentima, dogadjajima, mušterijama, korisnicima... sve je bilo na dohvat ruke. Apsolutna kontrola.

   

   

   


Autor je prijavio propust sajtu ali :

I desilo se ono što se uvek desi. Kao i u slučaju sa Guaranom (više puta), Laškim, ovima, onima - odgovor je izostao. Uvek isti scenario - profil počne da mi bude opsedan od strane direktora, programera, pr stručnjaka iz njihove firme, ali nijedan jedini pokušaj kontakta (ne daj bože zahvalnosti).

Kada je primetio da su sredili propust, objavio je svoj pronalazak