Паблики: Модератор паблика может удалять добавленные редакторами материалы с таймером на публикацию.

Disclosed: 2016-12-04 21:33:52 By povargek To vkcom
Unknown
Vulnerability Details
Модератор паблика может удалять добавленные редакторами материалы с таймером на публикацию. Для начала можно посмотреть какие ранги есть у пользователей сообщества: https://new.vk.com/page-2158488_44367987 Тут написано: "Не может удалять контент, добавленный другими руководителями.". Да, это действительно так, но есть одна проблема, модератор может удалять материалы, которые другие руководители поставили на таймер публикации. Теперь можно перейти к тому, как воспроизвести этот баг. Нам необходимо: модераторские права в паблике, ID поста на отложенную запись. 1. https://new.vk.com/dev/wall.delete - прописываем в owner_id ID паблика, а в post_id ID поста-жертвы, выполняем запрос. 2. В случае удачи нам вернет "response: 1", отложенный на публикацию пост будет удален. Для поиска "жертв" можно использовать метод перебора, проверять пропуски между постами и тд. Замечу то, что wall.delete вернет в любом случае (ранг "модератор", речь не о подписчиках) "response: 1", если по этому ID был когда-то пост с отложенной публикацией. Какой вред это может нанести пользователям? Приведу пример. Есть какой-либо крупный паблик, руководители: создатель, один редактор и и один модератор. Модератор "в тихую" удаляет данным багом посты на отложенную публикацию, тут создатель замечает что посты пропадают, проверяет свой аккаунт на взлом - всё чисто, и подозрения сразу у него упадут на редактора паблика, т.к. создатель паблика знает что модератор их не может удалять - ему эта функцию просто напросто недоступна, и невинного редактора увольняют с его поста. P.S. Мой первый PoC, опыта в баг-репортах ранее не имел.
Actions
View on HackerOne
Report Stats
  • Report ID: 148467
  • State: Closed
  • Substate: resolved
  • Upvotes: 2
Share this report