Pikat fundore API pa autentikim dhe kontrolli i mangët i aksesit (BAC) mund të ekspozojnë informacion të brendshëm edhe kur aplikacionet përdorin hyrje të sigurt, autentikim me shumë faktorë (MFA) ose nënshkrime të kuletave Web3. Teksti i përshkruan këto si dobësi të zakonshme në programet bug bounty, shpesh të nënvlerësuara nga zhvilluesit.
Gjatë kërkimit mbi një ndërfaqe Web3, autorët gjetën një pikë fundore për listimin e aseteve që pranonte kërkesa GET pa token, cookie apo çelës API. Serveri kthente 200 OK, në vend që të refuzonte kërkesën e paautentikuar me 401 Unauthorized. Normalisht, serveri duhet të verifikojë token-in JWT ose cookie-n e sesionit përpara se të lejojë aksesin.
Përgjigjja përmbante 487 kilobajtë të dhënash JSON: adresa të brendshme kontratash inteligjente në testnet, tokenë të shënuar me "hide": true, kufij transfertash, struktura tarifash dhe rrugë këmbimi. Ajo zbulonte edhe kufijtë sipas niveleve KYC, përfshirë dallimet mes përdoruesve të paverifikuar dhe atyre plotësisht të verifikuar.
Sipas autorëve, këto të dhëna nuk mundësojnë domosdoshmërisht vjedhjen e drejtpërdrejtë të fondeve, por mund të ndihmojnë në përgatitjen e sulmeve të tjera. Adresat e testnet-it mund të zbulojnë mjedise më pak të sigurta, ndërsa tarifat dhe kufijtë KYC ekspozojnë logjikën e brendshme të platformës.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
