Уязвимость в Paypal позволяла удалить чужую учетную запись (обновлено)

Согласно сообщению исследователя информационной безопасности Йонута Черника (Ionut Cernica) из компании Vulnerability Lab, платежный сервис Paypal содержал опасную уязвимость , позволявшую злоумышленникам удалить чужую учетную запись.

«В результате проведения нескольких тестов с web-приложением paypal.com мне удалось выяснить, что владелец учетной записи из США при посещении этой страницы может добавить оттуда новый адрес электронной почты. Проблема заключается в том, что указанный пользователем адрес добавляется без подтверждения даже в том случае, если он уже кем-то используется», - пояснил эксперт.

В результате осуществления такой привязки чужого адреса электронной почты и его последующего удаления происходит также и автоматическое удаление оригинальной учетной записи.

По словам Черника, в настоящий момент брешь уже устранена, однако его удивляет сам факт того, что она позволяла провести такую простую в эксплуатации и опасную в плане последствий атаку. Он также отметил, что представители Paypal обязались выплатить ему вознаграждение в размере $5000.

Ознакомиться с отчетом Vulnerability Lab можно здесь . 

Обновлено 26.08.2013

У компании PayPal есть следующий комментарий на эту тему:

«В связи с недавними публикациями об уязвимости системы PayPal, связанной с возможностью добавлять адрес электронной почты к чужой учетной записи, мы хотим заявить о том, что никогда не получали никаких достоверных сведений о подобных ошибках, связанных с использованием веб-сайта PayPal.com, и не предлагали соответствующее вознаграждение. В компании PayPal действует программа финансового вознаграждения Bug Bounty, в рамках которой независимые исследователи могут сообщить нам об обнаруженных на веб-сайте ошибках. Данная программа разработана для поощрения специалистов, помогающих укреплять безопасность системы PayPal в интересах наших пользователей.»