Уязвимость в GraphQL-портале Beam Living раскрыла последние цифры SSN, даты рождения и адреса заявителей
A Blackstone real estate company exposed SSN digits, DOBs, addresses and more
Алекс Шапиро, подавая заявку на аренду в Beam Living (портфельная компания Blackstone), обнаружил критическую уязвимость в их GraphQL API. Передавая email-адрес в запросе, можно было получить полные данные любого заявителя, включая последние четыре цифры SSN, дату рождения, адрес, IP-адрес и телефон. Уязвимость затрагивала все объекты Beam Living, включая StuyTown и Peter Cooper Village. Шапиро сообщил о проблеме, но компания сначала отрицала её, а затем молча исправила ошибку, не уведомив его должным образом.
Найти жилье в Нью-Йорке сложно. Это знают все. Но не все знают, что найти последние четыре цифры чьего-то номера социального страхования проще, чем квартиру.