16.07.2024
Сотрудник команды пентеста лаборатории инновационных технологий и кибербезопасности в рамках Bug Bounty CloudTips от Т-Банк обнаружил уязвимость в сервисе.
Приложение CloudTips — это сервис для приема безналичных чаевых, а также донатов, который позволяет создавать платежные страницы для перевода этих самых чаевых.
В рамках своего исследования удалось доказать, что вход по аккаунту без пароля действительно возможен.
При изначальном случае, когда уязвимость ещё не была исправлена, скорее всего возможно было бы получить доступ к чужому аккаунту. Фактически, исследователь имел возможность любому пользователю изменить пароль на нулевой и успешно авторизоваться.
Отчёт был принят организаторами Bug Bounty со степенью критичность High.
Подробно ознакомиться с данным кейсом можно на Хабре нашей компании по следующей
ссылке.