Покупка=>скачка песен, которые не предназначены для продажи

Disclosed: 2017-03-20 15:50:21 By 4lemon To ok
Unknown
Vulnerability Details
Итак, часть песен в приложении можно купить. Нажимая на кнопку купить, происходит запрос к серверу (обрезано, для удобства): GET /isDownloaded;jsessionid=DZSUq1yT_UMNFNcYk5-mZ10DGJbUCoNYFHRUcNNwINHoSrDkkkf4gInosiPimoqGaysNvWs7GV7fnOMGgfsbCA.hHaqWq9PyS8b9PmEoYf_cA?tid=90920917758231 В ответ получаем: {"title":"Шахерезада","trackId":90920917758231,"price":10,"copyrightOwnerName":"Digital Project","isBought":false,"copyrightOwnerId":22,"image":null,"artist":"Натали"} Но, если нажать на любую песню, у которой доступно скачивание, и поменять во время первого запроса параметр tid на значение песни, которую хочется скачать, то система начинает работать с ними. Никакой проверки возможно продажа песни или не возможна - нету. Следующей проблемой становиться нулевая цена таких песен - платёжный гейт не может принять нулевую цену и сообщает, что он "в данный момент не работает, попробуйте позже". Но её можно решить подменой приходящих значений (я описывал это в прошлом репорте), В итоге после подмены, мы имеем песню за 1 ОК, покупаем её, и можем скачать. Не смотря на то, что с точки зрений прибыли - это и кажется "хорошо", но с точки зрения копирайта - могут возникнуть проблемы. Предполагаю, что у песен должен быть некий параметр - можно ли её вообще купить или нет.
Actions
View on HackerOne
Report Stats
  • Report ID: 78253
  • State: Closed
  • Substate: resolved
  • Upvotes: 7
Share this report