我能查看Instagram 所有用户的私人邮件和生日信息

缅甸研究者Saugat Pokharel公布了自身 近发觉的一个Instagram系统漏洞的详细信息。以下是文章正文：

10月22日，正当性我查询一些安全性/隐私保护难题时，发觉Facebook企业新发布一款新的app，名字叫做Facebook Business Suite。

什么叫Business Suite？

Business Suite是页面管理器app（用以管理方法Facebook Pages的app）的升級版本号。在Business Suite中，业务流程管理人员能够将Facebook网页页面和Instagram帐户开展连接，以后管理人员可以建立或生产调度贴子，查询剖析、信息内容或根据一个运用就可以在Instagram和Facebook上回应评价（Business Suite的浏览详细地址：business.facebook.com）。

我根据PageName>Settings>Instagram将自身的本人Instagram帐户和Facebook Page连接起來。以后我也能够根据Business Suite回应Instagram的发件箱了。

当我们回应一个盆友的电子邮件时，右上方的Business Suite造成了我的留意。那就是盆友发来的电子邮件，我询问了盆友是不是将电子邮件的隐私设置为公布。她没法确定自身的选择项，因此我快速查询了有关Instagram的电子邮件隐私设置。

Instagram的 网网页页面清晰地提及，地址对别人不由此可见，因此是我99%的掌握觉得这是一个bug。

另外，我进到Instagram app>Edit Profile>Personal Information Settings。即便这儿也提及了电子邮件、联系电话、性別和出生年月对别人不由此可见。能够毫无疑问，这的确是个bug!

当我们开启和此外一个盆友的会话对话框时，我也可以见到他的地址。我觉得试着是不是能够获取到非公布客户的地址。因此，我建立了一个检测帐户并将隐私保护性设定为“非公布”。然后从自身的Instagram帐户对这一检测帐户写了一条信息内容。結果这条信息内容发生在了Business Suite中。确定毫无疑问，我也可以查询非公布客户的地址。

然后我又建立了一个帐户并将设定改动为：仅关心的客户能够向我发送短信。逐渐向这一客户写信息内容后如我所想，信息内容仍未推送但在Business Suite中打开了一个闲聊对话框，且帐户的地址也被公布。我吃惊了。

因此，我意识到，只需向随意客户写信息内容，就可以曝露她们的地址。即便将帐户设定为“非公布“且将帐户设定为不接受来源于外界的立即信息，也受该进攻危害。事不宜迟，我立刻向Facebook写了一份系统漏洞汇报，并另附详细描述视频PoC。

我还在一个协作组，能够和Facebook企业的注安师立即沟通交流，因此我通告这名技术工程师查询我的汇报，以防掉入不大好的混蛋手上。然后难题被确诊并在不上2钟头的時间里修补。因此，本人电子邮件曝露难题获得处理。

注意到补丁下载的8到9小时后，我接到安全性精英团队的信息内容称系统漏洞已修补，并请我查询难题是不是已修补。結果，我又发觉了一个难题：

随意客户的出生年月被曝露

我查询修补计划方案时，发觉一样的地区还会继续泄漏随意Instagram客户的出生年月。我又吃惊了。以后我回应称出生年月也可遭泄漏。Facebook企业的技术工程师表明她们早已从我递交的系统漏洞汇报中发觉了出生年月的难题，现阶段已经修补。

第二天，出生年月的难题也获得修补。但在实地调查中我发现了，仅有手动式申请注册了Instagram的客户才会泄漏出生年月的信息内容。因此，借此机会我能阻拦无论是不是根据Login with Facebook方式建立Instagram帐户的客户。我觉得这也是一个隐私保护难题：

If birthday disclosed=Manually signed up

If birthday not disclosed=Logged in with Facebook

我迫不及待地想要知道会有多少奖励金了。但是我已经了解由于这个问题对客户隐私保护来讲是个十分比较严重的难题，因而奖励金应当许多。历经7周的耐心等待后，Facebook企业传出了5位数的奖励金。我的兴奋情绪不言而喻，由于这是我迄今接到的较大一笔奖励金！

时间轴

2020年10月22日，中午6:59：推送 份汇报

2020年10月23日：系统漏洞确诊

2020年10月23日：电子邮件曝露难题修补

2020年10月28日：出生年月曝露难题修补

2020年12月16日：接到奖励金13125美元