Сайт реестра электронных повесток слил персональные данные пользователей

Через реестр электронных повесток, запущенный 18.09.2024, можно достать личные данные пользователей, через ID аккаунта на Госуслугах.

Уже к вечеру, после запуска сайта была обнаружена уязвимость, которая позволяет любому авторизованному пользователю посмотреть все личные данные призывников.

После авторизации можно отправить API-запрос, содержащий ID юзера на Госуслугах и получить всю информацию, включая ФИО, дату рождения, прописку, ИИН, СНИЛС, данные водительского удостоверения, паспорта и других документов.

Вот в таком вот удобном формате:

Много я повидал на своем веку, но чтобы просто наружу высунуть API, которое в json персональные данные из Госуслуг возвращает - такого еще не было, это прям какой то новый уровень проектирования системы, работающей с пользовательскими данными.

Источник: https://habr.com/ru/news/844446/

Вернуться к списку

Интересные статьи

Создание и внедрение виртуального продукта на сайт страховой компании

Эта статья посвящена интерфейсному решению, за счет которого компания получила небольшую прибавку в доходах по страховым продуктам. С одной стороны, здесь нет впечатляющих цифр, с другой стороны, это ...

Как мы внедрили Amplitude на проекте и стали лучше понимать пользователей продукта

Веб-аналитика помогает подтверждать аналитические гипотезы в ходе доработки IT-решений. Например, на проекте нужно было понять, после какого этапа пользователь уходит с сайта. Гипотеза была такой: пол...

Снепшот как бэкап для сайтов на VPS

Сегодня я хотел бы рассказать вам о небольшой, но полезной утилите под названием «regru‑snapshoter». Это инструмент, который позволяет создавать снимки виртуальных машин на пл...

Поваренная книга миграции данных между БД или как перенести данные из одной БД в другую с минимальной болью

Одно я могу сказать точно: миграция данных между двумя БД - это одна из, если не самая сложная часть при смене СУБД или схемы базы данных. И что-то мне подсказывает, что Вы не фанат громоздких, чрезвы...

Безалаберность пользователей PayPal позволяющая украсть их аккаунт и деньги [Исправлено]

Добрый день, уважаемые коллеги! Я являюсь пользователем популярного платежного сервиса системы PayPal. Также, по совместительству, являюсь специалистом по технической безопасности в области защи...