【Peing】質問箱にの脆弱性「公開ページにトークン書いてあった」「去年の10月から漏れてた？」
【Peing】質問箱にの脆弱性「公開ページにトークン書いてあった」「去年の10月から漏れてた？」
更新日:
ringoさん
VIEW
【Peing】質問箱にの脆弱性「公開ページにトークン書いてあった」「去年の10月から漏れてた？」
Peing-質問箱-(公式) (@Peing_net)さんの最新ツイート。匿名で質問ができるPeing(ペイング) 質問箱📦の公式アカウントです。誰でも簡単に5秒で開設できます。✨最新✨の情報を🏃🏻♀️最速🏃🏻♀️でお届け！
@Peing_net Peingさん焦りすぎてるのか
「メンテナンス」を「メンテナス」って言ってるし画面は2018.12.10やから過去のやつやし笑
トークン公開してたらしい
Peingの脆弱性、ちゃんと報告したのに多分内容まともに見られずに一部のみ修正になってて、結局炎上してるけれどもう僕は知らない
@kgtkr 恐らく、設計レベルで良くないですよね。でも、サービス提供者は根本解決や詳細な調査をせずに、とりあえずこの画面だけ修正してサービスを再開するかもしれません。
最悪の場合は、次々と似たような脆弱性が出てくるかも。
私はしばらくの間このアプリのアクセス権を外して様子を見ます。
お前ら！アプリ連携確認の時間だ！トークン漏れ発覚したから速攻でPeingの連携を解除だ！
Peingの平文トークン芸
P「ユーザーデーターの塊（Twitterで読み書き権を得るためのトークン含む）…皆が見える場所に置いてもバレへんか……」
発見者「直して！（サポートメール）」
P「ほい（平文トークン直らず）」
ホワイトハッカー「脆弱性あり。どうか早急な対応を（公式垢乗っ取って発言）」
peingさんよ、、、
生トークンそのままソースに埋め込むとか笑えないぞ。。。。
※わかりやすいように言うと、生トークン（鍵）をドアに吊り下げたま
出かけるようなもの。。。。
ターゲットが質問箱を開設していれば、
誰でもツイッターのアカウントを奪う事ができます。。。。。。
Peing、いやあ、去年の10月からあった脆弱性なのは分かるが、どうして誰も指摘せずにそのままだったんだ？publicにトークン公開とかちょっと考えるだけですぐヤバイと気づけるレベルだろう。その方が闇が深くないか？
Peing生トークン公開とかどうしてそうなっちゃうのかなぁ
GitHubのAWSのそれもそうなんだけど
クローラで生トークン検索するBot走らせるやつ出てきそうよね。他でもそういうのたくさんやってそう。
Peingにtwitterのトークンが丸見えになっている脆弱性が見つかつてメンテナンス中。トークンを利用すると勝手に投稿したり乗っ取られる可能性がある
とりあえず質問箱(Peing)使ってる人は速攻でアプリ連携一旦解除するべきレベルの危なさ
トークン流出の脆弱性が事実だとすると、ほっといたらTwitter関連何乗っ取られてもおかしくない
Twitterの乗っ取りとか大抵連携云々の勘違いだと思ってるからpeingの騒ぎもその延長だと思ったけど、トークン晒してたらそりゃ乗っ取られるわ
