Подробнее здесь: http://habrahabr.ru/post/228617/

У ВКонтакте есть виджет авторизации, с помощью которого пользователь может зарегистрироваться на стороннем сайте. Сайту при регистрации будут переданы данные пользователя: имя, фамилия, фотография и id-вконтакте. При этом пользователь должен подтвердить передачу своих данных стороннему сайту.
Однако недавно было обнаружено, что разрешение на предоставление данных сайту у пользователя не запрашивается. Таким образом произвольный веб-сайт может получить личные данные пользователя без его ведома и согласия.
Техническая поддержка ВКонтакте уязвимость не комментирует.