Insecure Direct Object Reference in tuenti.com allow any message read
Referencia directa insegura a objetos en Tuenti.com que permite leer cualquier entrada de blog, incluidos mensajes privados.
Background
Tuenti.com es una plataforma social privada a la que solo se accede por invitación y que millones de personas usan cada día para comunicarse y compartir información.
Description
Se ha detectado una referencia directa insegura a objetos en Tuenti.com que permite leer cualquier entrada de blog de cualquier usuario y, con ello, acceder a mensajes privados. El parámetro blog_entry_id hace referencia directa a una entrada de blog, por lo que cambiando su valor un usuario puede acceder a entradas arbitrarias.
Business impact
Un atacante puede leer entradas de blog arbitrarias de cualquier usuario de Tuenti.com, lo que puede dar acceso a información privada o sensible.
Systems affected
Red social Tuenti.com.
Solution
Tuenti ya corrigió el problema.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.