Podatności w Click To Pray pozwalały pobierać dane użytkowników i ominąć weryfikację adresu e-mail

Badaczka bezpieczeństwa – BobDaHacker – odkryła podatność w Click To Pray, czyli aplikacji społeczności modlitewnej Papieża, która umożliwia użytkownikom modlitwę zgodnie z comiesięcznymi intencjami. Jest dostępna na iOS, Androida oraz w wersji webowej. W lipcu zarejestrowanych w niej było ponad 700 tysięcy użytkowników.

TLDR:

• Badaczka odkryła podatność IDOR w aplikacji Click To Pray, umożliwiającą pobieranie danych dowolnego użytkownika poprzez zmianę identyfikatora w zapytaniu do API.

• Z uwagi na sekwencyjne identyfikatory, potencjalnie możliwe było pozyskanie danych ponad 700 tys. kont.
• Dodatkowo, proces weryfikacji adresów e-mail można było obejść dzięki ujawnianiu przez API identyfikatora UUID wykorzystywanego jako token weryfikacyjny.
• Zgłoszenie podatności przez wiele miesięcy pozostawało bez odpowiedzi, a poprawka została wdrożona dopiero po publikacji sprawy przez Dark Reading.

Przy zakładaniu konta w aplikacji użytkownik otrzymuje unikalny identyfikator numeryczny. Standardowe działanie wielu aplikacji do rozróżniania rekordów w bazie danych.

Okazało się jednak, że endpoint API pod adresem https://api.clicktopray.org/user/users/{numer_id} zwracał dane dowolnego użytkownika po podaniu identyfikatora. Niezależnie, czy żądanie dotyczyło aktualnie zalogowanego konta, czy jakiegokolwiek innego. Wystarczyło odpytywać o kolejne numery i pobierać dane kolejnych użytkowników.

Badaczka sprawdziła, co API zwraca dla użytkownika z identyfikatorem 69420:

Dla dowolnego konta można było podejrzeć adres e-mail, imię i nazwisko, kraj, datę urodzenia, a także rolę w systemie (domyślnie ustawianą jako PRAYER).

Biorąc pod uwagę wykorzystanie sekwencyjnych identyfikatorów użytkowników i brak rate limitingu potencjalni atakujący mogliby uzyskać w ten sposób dane każdego konta na platformie.

Badaczka zauważyła również, że endpoint rejestracji https://api.clicktopray.org/user/users/sign-up zwracał wartość validation_hash konta bezpośrednio w odpowiedzi:

Wartość ta była wykorzystywana jako identyfikator w linku do weryfikacji adresu e-mail:

Możliwe było więc stworzenie konta z dowolnym adresem e-mail i zweryfikowanie go bez dostępu do faktycznej skrzynki.

Przy okazji można było zauważyć, że aplikacja ma nieprawidłową skonfigurowaną wysyłkę e-maili ze swojej domeny (najpewniej SPF, DKIM lub DMARC).

Badaczka wszystkie pokazane problemy zgłosiła na początku 2026 roku (3 stycznia), wysyłając e-mail do dziewięciu osób: na ogólny adres kontaktowy, do sześciu pracowników clicktopray.org oraz do dwóch kontaktów w popesprayer.va (Papieskiej Światowej Sieci Modlitwy). Nie otrzymała jednak żadnej odpowiedzi.

Poinformowanie o sprawie dziennikarza z Dark Reading również nie pomogło. Click To Pray nie posiadało nawet dedykowanego kontaktu prasowego. Nie było także programu bug bounty ani pliku security.txt.

Jakiś czas po publikacji Dark Reading, działanie endpointu /user/users/{id} uległo zmianie. Autoryzacja jest już wykonywana poprawnie – gdy użytkownik żąda własnego identyfikatora, otrzymuje informacje o swoim koncie, ale gdy prześle w zapytaniu dentyfikator kogoś innego, w odpowiedzi zwracane są tylko dane publicznego profilu. Całość odbyła się jednak bez jakiejkolwiek informacji zwrotnej dla badaczki.

Programistom tworzącym aplikacje webowe i interfejsy API polecamy zwracać uwagę na spójne wdrażanie mechanizmów uwierzytelniania i autoryzacji – zalogowany użytkownik nie powinien mieć dostępu do kont innych użytkowników. Niestety podatności dotyczące tych mechanizmów wciąż są obecne, co pokazuje pierwszy punkt listy OWASP Top 10 z 2025 r.

Źródło: bobdahacker.com

~Tymoteusz Jóźwiak