• The Shot pada aplikasi OnePlus mengandungi kecacatan keselamatan.
• Nama pengguna, negara, dan alamat e-mel yang terpapar.
• OnePlus agak menangani kecacatan keselamatan.

Menurut a 9to5Google Laporan yang diterbitkan awal hari ini, kecacatan keselamatan menyebabkan "beratus-ratus" alamat e-mel membocorkan melalui aplikasi Shot pada OnePlus. OnePlus sebelum memasang aplikasi pada OnePlus 7 Pro dan telefon OnePlus yang lain.

Seperti namanya, Shot pada OnePlus menunjukkan foto orang lain dan membolehkan anda memuat naik sendiri. Apabila anda memuat naik foto, anda boleh menukar tajuk, lokasi dan penerangannya. Ditembak pada OnePlus memerlukan log masuk untuk muat naik foto, dengan pengguna dapat menukar nama profil mereka, negara, dan alamat e-mel dalam aplikasi dan laman web.

Malangnya, 9to5Google menemui API - terutamanya digunakan untuk mendapatkan foto awam dan membuat pautan di antara aplikasi dan pelayan OnePlus - mudah diakses dan tanpa sekuriti API tipikal. Dihoskan di open.oneplus.net, API boleh diakses oleh sesiapa sahaja yang mempunyai token akses dan nampaknya mengandungi data pengguna sensitif.

Perkara yang lebih buruk ialah "gid" dalam API. The gid adalah kod alfanumerik yang membolehkan API mengenal pasti pengguna tertentu. Ia terdiri daripada dua bahagian: dua huruf yang mendedahkan di mana pengguna berasal dan nombor yang unik. Sebagai contoh, CN472834 adalah pengguna dari China dan EN593874 adalah pengguna dari tempat lain.

API terdedah menggunakan gid untuk mencari foto yang dimuat naik pengguna atau memadam foto tersebut. API juga menggunakan gid untuk mendapatkan maklumat pengguna, seperti nama mereka, negara, dan e-mel, dan mengemas kini maklumat itu.

Seolah-olah itu tidak cukup buruk, anda boleh mencuba melalui nombor gid untuk mencari pengguna lain.

Kabar baiknya ialah API tidak lagi melepaskan alamat e-mel dan e-mel mereka yang memuat naik foto secara terbuka. OnePlus juga menjadikannya hanya Shot pada aplikasi OnePlus menggunakan API, walaupun 9to5Google nota yang boleh dengan mudah dilangkau. Akhirnya, API menyembunyikan alamat e-mel dengan asterisk.

merujuk kepada OnePlus untuk memberi komen tetapi tidak menerima respons oleh masa akhbar.