iOS-приложение WordPress допускало утечку аутентификационных токенов - «Новости»

Xakep #240. Ghidra

• Содержание выпуска


• Подписка на «Хакер»

Разработчики компании Automattic разослали письма пользователям официального iOS-приложения WordPress.com. Авторы популярной CMS предупредили об устранении опасного бага, из-за которого аутентификационные токены пользователей могли быть доступны сторонним сайтам. Исправление вошло в состав версии 11.9.1.

Разработчики пишут, что проблема появилась в коде еще в январе 2017 года и затрагивала только операторов тех сайтов, которые размещают изображения на внешних сервисах, таких как Flickr. Также сайт, разумеется, нужно было просматривать или редактировать через уязвимое приложение.

Сообщается, что уязвимость не распространялась на имена пользователей и пароли, но только на токены аутентификации, используемые приложением для коммуникаций и аутентификации с WordPress.com.

Фактически это означает, что если владелец WordPress-сайта использовал официальное iOS-приложение для  создания или редактирования публикации, а та содержала изображение из внешнего источника, этот источник по ошибке мог получить токен WordPress.com. Недобросовестные владельцы сайтов могут использовать такие токены, осевшие на их серверах, в своих целях, так как они позволяют авторизоваться на WordPress.com без пароля.

В послании разработчиков подчеркивается, что баг не затронул WordPress-сайты, размещающиеся на собственном хостинге, так как они не используют WordPress.com в процессе аутентификации. Версия приложения Android тоже не пострадала.