Уязвимость в электронном дневнике или как украсть персональные данные 2-х миллионов пользователей

[unable to retrieve full-text content]

В предыдущей статье я рассказал про особенность генерации логинов и паролей в электронном дневнике, разработанном ДИТ'ом. Используя её, кто угодно мог получить доступ к любому чужому аккаунту и после просмотреть оценки ученика, изменить оценки учащихся от имени учителя, получить персональные данные владельца аккаунта или совершить любые другие действия от имени пользователей. Всем учителям сменили пароли, но остались ученики и родители со старыми паролями.

В этой статье пойдет речь о багах/уязвимостях в том же проекте. Читать дальше →