Loading HuntDB...

Покупка=>скачка песен, которые не предназначены для продажи

O
ok.ru
Submitted None
Reported by 4lemon

Vulnerability Details

Technical details and impact analysis

Итак, часть песен в приложении можно купить. Нажимая на кнопку купить, происходит запрос к серверу (обрезано, для удобства): GET /isDownloaded;jsessionid=DZSUq1yT_UMNFNcYk5-mZ10DGJbUCoNYFHRUcNNwINHoSrDkkkf4gInosiPimoqGaysNvWs7GV7fnOMGgfsbCA.hHaqWq9PyS8b9PmEoYf_cA?tid=90920917758231 В ответ получаем: {"title":"Шахерезада","trackId":90920917758231,"price":10,"copyrightOwnerName":"Digital Project","isBought":false,"copyrightOwnerId":22,"image":null,"artist":"Натали"} Но, если нажать на любую песню, у которой доступно скачивание, и поменять во время первого запроса параметр tid на значение песни, которую хочется скачать, то система начинает работать с ними. Никакой проверки возможно продажа песни или не возможна - нету. Следующей проблемой становиться нулевая цена таких песен - платёжный гейт не может принять нулевую цену и сообщает, что он "в данный момент не работает, попробуйте позже". Но её можно решить подменой приходящих значений (я описывал это в прошлом репорте), В итоге после подмены, мы имеем песню за 1 ОК, покупаем её, и можем скачать. Не смотря на то, что с точки зрений прибыли - это и кажется "хорошо", но с точки зрения копирайта - могут возникнуть проблемы. Предполагаю, что у песен должен быть некий параметр - можно ли её вообще купить или нет.

Report Details

Additional information and metadata

State

Closed

Substate

Resolved

Submitted