Покупка=>скачка песен, которые не предназначены для продажи
O
ok.ru
Submitted None
Actions:
Reported by
4lemon
Vulnerability Details
Technical details and impact analysis
Итак, часть песен в приложении можно купить. Нажимая на кнопку купить, происходит запрос к серверу (обрезано, для удобства):
GET /isDownloaded;jsessionid=DZSUq1yT_UMNFNcYk5-mZ10DGJbUCoNYFHRUcNNwINHoSrDkkkf4gInosiPimoqGaysNvWs7GV7fnOMGgfsbCA.hHaqWq9PyS8b9PmEoYf_cA?tid=90920917758231
В ответ получаем:
{"title":"ШаÑ
еÑезада","trackId":90920917758231,"price":10,"copyrightOwnerName":"Digital Project","isBought":false,"copyrightOwnerId":22,"image":null,"artist":"ÐаÑали"}
Но, если нажать на любую песню, у которой доступно скачивание, и поменять во время первого запроса параметр tid на значение песни, которую хочется скачать, то система начинает работать с ними. Никакой проверки возможно продажа песни или не возможна - нету.
Следующей проблемой становиться нулевая цена таких песен - платёжный гейт не может принять нулевую цену и сообщает, что он "в данный момент не работает, попробуйте позже". Но её можно решить подменой приходящих значений (я описывал это в прошлом репорте), В итоге после подмены, мы имеем песню за 1 ОК, покупаем её, и можем скачать.
Не смотря на то, что с точки зрений прибыли - это и кажется "хорошо", но с точки зрения копирайта - могут возникнуть проблемы.
Предполагаю, что у песен должен быть некий параметр - можно ли её вообще купить или нет.
Report Details
Additional information and metadata
State
Closed
Substate
Resolved