☦️ Уязвимость в ватиканском приложении Click To Pray поставила под угрозу данные 700 00... — 30 июля 2026 г. в 15:02:58.390
☦️ Уязвимость в ватиканском приложении Click To Pray поставила под угрозу данные 700 000 пользователей Молитвенное приложение Click To Pray, которое Папа Римский Франциск официально представил в январе 2019 года, содержало серьёзную уязвимость, позволявшую получить персональные данные более 700 000 пользователей. Сервис был разработан агентством La Machi Communication for Good Causes для организации «Всемирная молитвенная сеть Папы». В январе 2026 года независимый ИБ-исследователь BobDaHacker обнаружил проблему в API приложения. Незащищённый интерфейс выдавал сведения о любом зарегистрированном пользователе без проверки прав доступа. Уязвимость относилась к классу IDOR (Insecure Direct Object Reference) и была связана с отсутствием проверки того, имеет ли запрашивающий пользователь право просматривать конкретную запись. Учётным записям присваивались последовательные числовые идентификаторы. Последовательно изменяя идентификатор, можно было перебрать записи в диапазоне от 1 до 719 517. В ответ API возвращал адрес электронной почты, имя, фамилию, страну, дату рождения, роль пользователя, статус удаления аккаунта и некоторые служебные поля. Ограничения частоты запросов обнаружено не было, поэтому автоматизированный сбор данных можно было провести с помощью простого скрипта. ИБ-исследователь также выявил вторую проблему. При регистрации API возвращал validation_hash, который использовался в ссылке подтверждения электронной почты. Это позволяло создать аккаунт с произвольным адресом и подтвердить его без доступа к соответствующему почтовому ящику. 3 января 2026 года BobDaHacker направил информацию о проблеме девяти адресатам, связанным с Click To Pray и «Всемирной молитвенной сетью Папы», но ответа не получил. В июле ИБ-исследователь передал сведения журналисту Dark Reading. 24 июля 2026 года Dark Reading и BobDaHacker опубликовали материалы об уязвимости. После публикации поведение API изменилось, что BobDaHacker подтвердил повторной проверкой. При запросе чужого профиля сервер перестал раскрывать адрес электронной почты, страну и дату рождения, оставив только публичные имя и фамилию. Это не первый публично известный случай серьёзной уязвимости в приложении, связанном с Ватиканом. В 2019 году британская компания Fidus Information Security обнаружила проблемы в приложении для электронных чёток eRosary. API возвращал четырёхзначный ПИН-код учётной записи в читаемом виде. Зная адрес электронной почты пользователя, злоумышленник мог получить ПИН-код из ответа API и полностью захватить соответствующую учётную запись. Раскрытые через Click To Pray имена, адреса электронной почты, страны и даты рождения могли использоваться для персонализированного фишинга от имени Ватикана или «Всемирной молитвенной сети Папы». ✋ @Russian_OSINT