- Пользователь обнаружил уязвимость в веб-версии Мах, из-за которой изображения из личных сообщений доступны по прямой ссылке без авторизации.
- Удалённые из переписки изображения остаются доступны по прежним ссылкам ещё минимум неделю.
- Отсутствует защита от перебора ссылок, что позволяет потенциально получить доступ к личным фото другим пользователям и автоматическим ботам.
Пользователь с ником 5time, опубликовавший информацию на портале Pikabu, выявил серьёзную уязвимость в веб-версии мессенджера Мах. Согласно сообщению, изображения, переданные в личных сообщениях, доступны для просмотра любому человеку, обладающему прямой ссылкой на файл. При этом авторизация или наличие доступа к переписке не требуются.
По словам обнаружившего проблему, ссылки на изображения имеют довольно длинный формат, но значительная часть этой ссылки одинакова для всех файлов пользователя. Из-за отсутствия защиты от перебора эти строки могут быть сгенерированы автоматически ботами или скриптами, что создаёт угрозу массового несанкционированного доступа к личным фотографиям. Более того, удалённые из сообщений изображения остаются доступными в течение как минимум недели, что усугубляет проблему.
Эксперты, комментируя ситуацию, отметили, что данный механизм фактически превращает личные изображения в ссылки общего доступа, аналогичные публичным хостингам изображений. Это существенно снижает уровень безопасности и конфиденциальности, так как любой, кто получит прямую ссылку, сможет без проблем просмотреть содержимое файла.
Автор публикации призвал разработчиков мессенджера Мах устранить данную уязвимость, сравнивая текущий уровень безопасности с мессенджерами вроде Telegram, где подобная защита реализована на высоком уровне. В настоящее время уязвимость остаётся не исправленной, что создаёт потенциальный риск для пользователей платформы.
Данная ситуация подчёркивает важность тщательного тестирования и укрепления механизмов безопасности в современных онлайн-сервисах, особенно в части защиты личной информации в мессенджерах и облачных платформах.
