Арабский питон

طبعا بقول لكم ليش راح تتوقف كل السورسات، ومو بس سورسي مثل ما بعض ال skids يتوقعوا.. طبعا الثغرة هي عبارة عن اتصال واحد فقط ، وهو موجود في ال odic login حق ال cross app authentication.. الي هو One tap login.. الاتصال هذا المفروض يبدل ال session بين نسخ TikTok الي لها permissions متساوية تقريبا.. يعني مثلا بين Lite و Studio.. بين تطبيق رسمي و Lite.. وهكذا.. لكن المبرمجين نسيوا يخلوه يتحقق من ال session aid.. لانه اي session تعطيه اياه قاعد يحوله. يعني لو تعطيه 1459 (ويب) او 8311 (استديو ويب) راح يتحول برضو.. الان هذا الاتصال يطلب id token و device secret.. طبعا هذول كل شخص وطريقته كيف يجيبهم.. انا جايبهم عن طريق اتصال passport/account/info/v2/ اتصال رسمي وما عليه كلام ومستحيل يوقف وراح يظل يعني id token و device secret.. اتصال الثغرة حق odic login اي ID token و device secret راح تعطيه اياه من هون وصاعد راح يصير يفحص ال aid لو كان 1459 لانه هو Session bound.. راح يتحقق منه لو كان 1459.. لو ويب فعلا راح يعطيك Application has no permissions مثل ربط الخارجي يعني.. ----------- بالمختصر ثغرتي وثغرة ماركو والكل راح تقف.. ليش ؟ لانه الثغرة وحدة، هي موجودة في odic login.. ال odic login بمجرد صار يفحص ال id token بغض النظر انت من وين جبته.. بمجرد ما صار يفحص ويشوف لو ويب اعتبر كل أدوات التحويل توقفت.. وخلنا ننتظر بس يردوا على بلاغي او بلاغ اي شخص ب hackerone..

تم بلغت عالسورس

حب لا تدوخني فدوه اروحلك

يتم تبليغ

واشغل بطريقة عبدو

بس خلبلغ على هاي

اهم شيء يحول بس راح يتعطل

لا تصيرر مطي

حبيبي نفس طريقتك

طلع تمسلت

انا اصلا فرحت عبالي مثل طريقتي

هوه المطلوب

سورس تسرب صار بت سبيل 😂😂

حبيبي اي انت مسويه اول واحد محد ينكر هذا الشي

لان انا داز هذا لسارة الي تعرف الاجنبي

حبيبي قبل لتفكر تسوي انا مسوي لو مو انا ما توصل لشي

سارة مسربيته

هخخخخخ

عرفت منو مسربه