HexBrain

VK.com · Report #223172

Просмотр привязного к странице email, всего лишь раз скомпрометировав письмо-уведомление

Validstatus
$100bounty
5upvotes
20 Feb 2018disclosed

Summary

Просмотр адреса электронной почты после получения доступа к письмам-уведомлениям из ВК.

Всего лишь раз утащив аккаунт/мыло пользователя и утащив mhash, можно было иметь доступ к просмотру email пользователя, даже если он его сменит и тд, это давало доступ к вечному просмотру email, привязанному к аккаунту.

How it was found

The write-up for this report has not been downloaded yet, or the program disclosed it without one. Read it on HackerOne.

This report was disclosed publicly on HackerOne and belongs to its author and the program. See the original