Ứng dụng cầu nguyện chính thức bị phát hiện lỗ hổng IDOR, rò rỉ dữ liệu hơn 719.000 người
"The official Click To Pray prayer app exposed user data through an IDOR vulnerability in its API, allowing unauthenticated enumeration of all 719,517 registered accounts. The leak included names, email addresses, country, birth dates, and account status; the signup flow also returned a validation hash that could enable premature email verification. The researcher reported the issue months earlier, but it remained unfixed at publication."
Rò rỉ dữ liệu cá nhân quy mô lớn do IDOR và khả năng enumerate tài khoản; thêm rủi ro xác minh email sớm từ validation_hash.
Nguy cơ gia tăng phishing và suy giảm niềm tin người dùng do lộ email và thông tin nhận diện; có thể phát sinh chi phí xử lý sự cố và truyền thông khắc phục.
Một ứng dụng cầu nguyện được công nhận bởi Pope’s Worldwide Prayer Network (Click To Pray) đã bị báo cáo rò rỉ dữ liệu người dùng trong nhiều tháng. Theo một nhà nghiên cứu bảo mật, vấn đề xuất phát từ lỗ hổng Insecure Direct Object Reference (IDOR) trong API, cho phép kẻ tấn công liệt kê trái phép tài khoản mà không cần xác thực.
Ứng dụng có mặt trên iOS, Android và website clicktopray.org, hiện có 719.517 tài khoản đã đăng ký. Nhà nghiên cứu cho biết endpoint GET https://api.clicktopray.org/user/users/{id} trả về thông tin người dùng chỉ cần cung cấp user ID hợp lệ (dạng số tăng tuần tự), mà không có kiểm tra quyền sở hữu/ủy quyền. Dữ liệu lộ gồm email, họ tên, quốc gia, ngày sinh, và trạng thái tài khoản (bao gồm việc đã bị xóa hay chưa).
Ngoài ra, endpoint đăng ký POST https://api.clicktopray.org/user/users/sign-up trả về trực tiếp validation_hash trong phản hồi, trùng với giá trị dùng trong liên kết xác minh email. Điều này có thể giúp kẻ tấn công xác minh sớm tài khoản trước khi email xác nhận đến hộp thư.
Khuyến nghị: rà soát và sửa cơ chế ủy quyền ở tầng API, loại bỏ việc trả validation_hash trong response, đồng thời áp dụng rate limiting và giám sát bất thường để giảm nguy cơ enumeration.