Luka dotyczy nowej funkcjonalności – App Center. AMol NAik odkrył, że tokeny żądań HTTP anty-CSRF nie są wyraźnie zatwierdzone po stronie serwera, a napastnik jest w stanie dodać aplikacje na platformie jako inny użytkownik. Aby wykonać ten atak, atakujący musi jedynie skłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny internetowej. Użytkownik, który padnie ofiarą ataku zobaczy złośliwe aplikacje w ramach Centrum Aplikacji.
Środki przeciwko CSRF stosowane przez Facebook mają zapobiec tego rodzaju atakom poprzez generowanie tokena z każdej ważnej sesji, który ma być wysłany przez klienta z każdego żądania. Skrypty na innych stronach internetowych, nie mają dostępu do tego tokena. Okazuje się jednak, że strony App Center nie sprawdzały ważności tokenów, co pozwwalało dowolnemu użytkownikowi na wysłanie fałszywych żądań. Zespół Bezpieczeństwa Facebook naprawił usterkę w ciągu jednego dnia po otrzymaniu „cynka” od AMol NAik.
Źródło: Register