Zarobił ~200 000 PLN, znajdując „niewinną” informację w publicznej appce…

Zgłaszający tego buga otrzymał od Shopify grubą nagrodę w wysokości $50 000. W dużym skrócie, badacz badał publicznie dostępną appkę dla MacOS, w której znalazł zaszyty klucz API do GitHuba. Klucz z kolei dał pełen dostęp do (prywatnych i publicznych) repozytoriów kodu należących do Shopify. W oryginale opis wygląda tak:

I was reviewing an Electron app made by one of Shopify employees (at the time I didn’t know that Shopify was in any way involved), after extracting the app.asar file using npx asar extract path/to/app.asar extracted/path I found a .env file, initially I skipped it because I thought it just contained some app configuration stuff but after taking a look at the source it was clear that the app never loaded it. It was probably a leftover of the release building process. That .env contained a GH_TOKEN variable, which is (as you can probably guess) a GitHub token, I tried using it to authenticate against GitHub REST API (…)

–ms