Vodka Casino
Исследование WebSocket-инфраструктуры и механизмов авторизации персональных realtime-каналов.
Найденная проблема
Unauthorized subscription to private WebSocket channels
В ходе исследования было подтверждено, что авторизованная WebSocket-сессия одного пользователя может подписаться на персональные каналы другого пользователя.
В частности, сервер принимал подписки вида:
user#2584431notifications#2584431
Что было проверено
Тест проводился неразрушающим способом. Доступ к аккаунту другого пользователя не осуществлялся, изменения данных не выполнялись, публикация сообщений в чужие каналы не производилась.
Основная проблема заключается в отсутствии серверной проверки прав на подписку на персональные каналы.
Статус
Уязвимость подтверждена на уровне WebSocket authorization. Отчёт передан в техническую поддержку для проверки серверной реализации ACL.
Публикация технических деталей осуществляется без раскрытия токенов, персональных данных и иных чувствительных сведений. Страница создана в рамках исследовательского портфолио 1exbug.