VK.com · Report #301631
CSRF на "ловлю гостей" и раскрытие аудиотрансляции в частной группе
Validstatus
mediumseverity
$100bounty
7upvotes
26 Apr 2018disclosed
Summary
CSRF в аудио.
Уязвимость позволяла узнать ID пользователей, которые попались на CSRF, и так же можно было узнать песню, которая транслируется в частной группе.
/al_audio.php?act=a_get_audio_status не имел hash добавлял юзера в список слушателей и показывал песню, если она шла в частной группе
How it was found
The write-up for this report has not been downloaded yet, or the program disclosed it without one. Read it on HackerOne.