Паблики: Модератор паблика может удалять добавленные редакторами материалы с таймером на публикацию.
Unknown
Vulnerability Details
Модератор паблика может удалять добавленные редакторами материалы с таймером на публикацию.
Для начала можно посмотреть какие ранги есть у пользователей сообщества: https://new.vk.com/page-2158488_44367987
Тут написано: "Не может удалять контент, добавленный другими руководителями.". Да, это действительно так, но есть одна проблема, модератор может удалять материалы, которые другие руководители поставили на таймер публикации. Теперь можно перейти к тому, как воспроизвести этот баг.
Нам необходимо: модераторские права в паблике, ID поста на отложенную запись.
1. https://new.vk.com/dev/wall.delete - прописываем в owner_id ID паблика, а в post_id ID поста-жертвы, выполняем запрос.
2. В случае удачи нам вернет "response: 1", отложенный на публикацию пост будет удален.
Для поиска "жертв" можно использовать метод перебора, проверять пропуски между постами и тд. Замечу то, что wall.delete вернет в любом случае (ранг "модератор", речь не о подписчиках) "response: 1", если по этому ID был когда-то пост с отложенной публикацией.
Какой вред это может нанести пользователям? Приведу пример. Есть какой-либо крупный паблик, руководители: создатель, один редактор и и один модератор. Модератор "в тихую" удаляет данным багом посты на отложенную публикацию, тут создатель замечает что посты пропадают, проверяет свой аккаунт на взлом - всё чисто, и подозрения сразу у него упадут на редактора паблика, т.к. создатель паблика знает что модератор их не может удалять - ему эта функцию просто напросто недоступна, и невинного редактора увольняют с его поста.
P.S. Мой первый PoC, опыта в баг-репортах ранее не имел.
Actions
View on HackerOneReport Stats
- Report ID: 148467
- State: Closed
- Substate: resolved
- Upvotes: 2