Уязвимость на сайте МАУ выдавала данные о пассажирах по коду брони, сейчас она уже закрыта

По словам автора статьи, попав на сайт авиакомпании, он открыл инструменты разработчика в Google Chrome, чтобы понять, почему сайт долго грузится. «Изучив запросы к серверу, я увидел, что данные о доступных местах сервером возвращаются. Опробовав несколько разных браузеров, я так и не решил проблему, однако заметил, что запрос, который возвращает список доступных мест, выполнялся во всех браузерах успешно, не смотря на то, что сессионные куки были доступны только в Google Chrome», — пишет он. Запрос к серверу выглядел так: , пишут AIN.UA

https://bookapi.flyuia.com/ancillary/seatmap?pnr=XXXXXX&currency=USD&flyuiacountrycode=uk&flyuialanguagecode=ru&locale=RU

XXXXXX — это и есть код бронирования или же PNR. Ответ сервера во всех браузерах содержал данные о пассажире, которому принадлежит PNR — имя, класс, номер рейса, время отлета, место прибытия и так далее:

То есть, зная только код бронирования, можно было получить практически все данные о пассажире. Автор статьи пишет, что продолжая оформлять билет, выбрал пункт заказа места для багажа. В этом случае запрос имел вид https://bookapi.flyuia.com/ancillary/luggage?pnr=XXXXXX&currency=USD&locale=RU, а ответ сервера содержал еще и дату рождения пассажира. Переходя к странице оплаты, автор заметил ту же закономерность. На запрос https://bookapi.flyuia.com/payportal/transaction/123456?flyuiacountrycode=ua&flyuialanguagecode=ru&locale=RU сервер компании отдавал данные о платеже.

По словам автора статьи, на устранение уязвимости у компании ушел примерно месяц, и на момент выхода статьи ею воспользоваться было уже нельзя.

Редакция ожидает официального комментария об уязвимости от компании МАУ.