Уязвимость в Yahoo позволяла пользователям удалять чужие комментарии

Египетский ИБ-эксперт Ахмед Абул-Эла (Ahmed Aboul-Ela)  обнаружил  уязвимость, позволяющую удалять комментарии со всех сервисов Yahoo, в том числе Yahoo News, Yahoo Sports , Yahoo TV , Yahoo Music , Yahoo Weather, Yahoo Celebrity и Yahoo Voices.  Напомним , что подобная брешь в Yahoo уже была найдена экспертом Ибрагимом Раафатом (Ibrahim Raafat) в марте нынешнего года.

Как сообщил Абул-Эла, любой комментарий и какая-либо публикация в Yahoo может быть удалена другим пользователем. Для этого ему необходимо инициировать запрос, нажав на кнопку удаления, после чего страница отправляет на сервер Yahoo запрос POST - comment_id и content_id, где comment_id представляет серийный номер комментария, а content_id является идентификатором публикации.

Для того чтобы это выполнить, злоумышленник просто должен инициировать запрос на удаление своего ​​комментария и изменить запрос POST, заменив значение comment_id собственного комментария на значение комментария, который он хочет удалить. После того как сервер получит этот запрос, он удалит запись из базы данных, поскольку не может проверить разрешение пользователя на это.

Абул-Эла отметил, что удалить чужой комментарий к записи может только тот пользователь, который прокомментировал ее первым. В противном случае при попытке осуществить вышеперечисленные действия будет появляться сообщение об ошибке.

Эксперт сообщил Yahoo об уязвимости, и команда по безопасности компании исправила ее.