HexBrain

VK.com · Report #227781

Получение предложенных фотографий паблику

Validstatus
mediumseverity
$200bounty
11upvotes
30 May 2018disclosed

Summary

Просмотр предложенных фотографий в пабликах.

{F337668} Обычным перебором id фото мы сохроним все фото к себе в альбом паблика

Нужен аккаунт "А" с которого предлагаются фото в паблик и скопируйте ссылки на фото Передайте их аккаунту "Б" , на котором перейдите к уязвимости и вставьте индификаторы фотографии в поля и нажмите ***********.

ФОТОГРАФИИ С АККАУНТА "А" ПРЕДЛАГАЕМЫЕ ПАБЛИКУ СОХРАНЯТЬСЯ НА АККАУНТ "Б" (не имеющему доступ к фото)

Или просто возьмите последнее фото в паблике где photo_id будет например 123456 и прибавляйте по единицы и нажимайте выполнить , все фотографии будут сохраняться если существуют 123457 123458 123459 и т.д

Странно , что вк заплатило 200$ вместо 300$ как предыдущего моего репорта с такой же проблемой https://hackerone.com/reports/106179

███████████████████████████ ███████▀▀▀░░░░░░░▀▀▀███████ ████▀░░░░░░░░░░░░░░░░░▀████ ███│░░░░░░░░░░░░░░░░░░░│███ ██▌│░░░░░░░░░░░░░░░░░░░│▐██ ██░└┐░░░░░░░░░░░░░░░░░┌┘░██ ██░░└┐░░░░░░░░░░░░░░░┌┘░░██ ██░░┌┘▄▄▄▄▄░░░░░▄▄▄▄▄└┐░░██ ██▌░│██████▌░░░▐██████│░▐██ ███░│▐███▀▀░░▄░░▀▀███▌│░███ ██▀─┘░░░░░░░▐█▌░░░░░░░└─▀██ ██▄░░░▄▄▄▓░░▀█▀░░▓▄▄▄░░░▄██ ████▄─┘██▌░░░░░░░▐██└─▄████ █████░░▐█─┬┬┬┬┬┬┬─█▌░░█████ ████▌░░░▀┬┼┼┼┼┼┼┼┬▀░░░▐████ █████▄░░░└┴┴┴┴┴┴┴┘░░░▄█████ ███████▄░░░░░░░░░░░▄███████ ██████████▄▄▄▄▄▄▄██████████ ███████████████████████████

How it was found

The write-up for this report has not been downloaded yet, or the program disclosed it without one. Read it on HackerOne.

This report was disclosed publicly on HackerOne and belongs to its author and the program. See the original