Исследователь обнаружил доказательства утечки фотографий из личных профилей в Instagram
Исследователь в области безопасности опубликовал подробные доказательства того, что некоторые закрытые профили в Instagram возвращали ссылки на фотографии пользователей тем, кто не проходил аутентификацию.
Функция приватного аккаунта в Instagram предназначена для того, чтобы доступ к фотографиям, видео, историям и роликам был только у одобренных подписчиков. Однако исследование показало, что в некоторых случаях контент приватного профиля встраивался в общедоступные ответы сервера.
По словам исследователя, компания Meta устранила проблему после того, как он отправил отчёт, но позже закрыла его как «неприменимый», заявив, что уязвимость не удалось воспроизвести.
Из личных профилей в Instagram утекают фотографии
Исследователь в области безопасности Джатин Банга недавно продемонстрировал, как из некоторых личных профилей в Instagram утекают ссылки на личные фотографии из этих аккаунтов — в самом теле HTML-ответа.
При входе в закрытый профиль Instagram (например, созданный исследователем https://instagram.com/jatin.py) с определённых мобильных устройств без аутентификации отображается стандартное сообщение: «Этот аккаунт закрыт. Подпишитесь, чтобы видеть их фотографии и видео».
Пример закрытого профиля в Instagram, доступ к которому имеет пользователь без авторизации
Однако в исходном HTML-коде затронутых профилей в ответ на запрос страницы были встроены ссылки на некоторые личные фотографии, а также подписи к ним.
В примере Banga объект JSON polaris_timeline_connection, возвращённый в HTML, содержал закодированные ссылки CDN на фотографии, которые не должны были быть доступны.
сходный HTML-код, возвращающий ссылки на личные фотографии
Видеодоказательство концепции (PoC), опубликованное Banga и прикреплённое ниже, демонстрирует уязвимость, связанную с утечкой данных.
Ограничив формальное тестирование частными тестовыми профилями, которые создал Банга или на использование которых у него было явное разрешение, он обнаружил, что по крайней мере 28 % этих аккаунтов возвращали подписи и ссылки на личные фотографии.
По словам исследователя, Meta незаметно устранила проблему после сообщения о ней
Исследователь утверждает, что поделился своими выводами с материнской компанией Instagram, Meta, ещё 12 октября 2025 года.
Изначально Meta классифицировала проблему как сбой в кэшировании CDN, но исследователь с этим не согласился.
«Это была не проблема с кэшированием CDN — серверная часть Instagram не проверяла авторизацию перед отправкой ответа», — написал Банга, описав это как сбой авторизации на стороне сервера.
Банга создал второй отчёт об ошибке, в котором разъяснил проблему, но, несмотря на длительное обсуждение, длившееся несколько дней, не смог добиться от компании удовлетворительного решения.
По словам исследователя, после неоднократных обращений дело было закрыто как «неприменимое», но эксплойт перестал работать примерно 16 октября.
«Стандартный срок для скоординированного раскрытия информации составляет 90 дней. Я дал Meta 102 дня и предпринял несколько попыток эскалации. Эксплойт перестал работать на всех протестированных мной аккаунтах, хотя без анализа первопричины со стороны Meta нет подтверждения, что основная проблема действительно решена», — продолжает он.
В дополнение к своему разоблачению и репозиторию на GitHub, в котором собраны обширные доказательства уязвимости и переписки с Meta, Банга поделился с BleepingComputer дополнительными материалами, подтверждающими существование уязвимости.
Мы спросили Бангу, почему он не заархивировал тестовый приватный профиль с помощью общедоступного сервиса, такого как Wayback Machine от Internet Archive, который мог бы сохранить исходный HTML-код со ссылками на приватные фотографии, тем самым бесспорно подтвердив наличие ошибки.
«Wayback Machine не отправляет специальный мобильный пользовательский агент и заголовки, необходимые для обнаружения этой утечки на стороне сервера, поэтому их поисковые роботы не смогли её обнаружить», — пояснил исследователь в интервью BleepingComputer.
В опубликованной переписке аналитик Meta по выявлению уязвимостей написал:
Ответ Meta на сообщение об утечке данных из закрытого профиля Instagram (Джатин Б.)
В конце концов, в ходе беседы аналитик заявляет:
«Тот факт, что невоспроизводимая проблема была устранена, не отменяет того, что в то время она не была воспроизводимой. Даже если бы проблема была воспроизводимой, возможно, что изменение было внесено для устранения другой проблемы, а эта проблема была устранена как непреднамеренный побочный эффект».
«Я хочу подчеркнуть, что не гонюсь за вознаграждением. Опубликовав эту информацию, я лишился всякой надежды на вознаграждение», — сообщил Банга изданию BleepingComputer по электронной почте.
«Цель — прозрачность. Компания Meta устранила критическую утечку данных о конфиденциальности через 48–96 часов после моего сообщения, но отказалась признать это, заявив, что это «непреднамеренный побочный эффект». Их халатность и нежелание расследовать истинную первопричину — несмотря на наличие журналов — вот в чём проблема».
«Никто не знает, как долго это использовалось на самом деле, поскольку найти уязвимость было не так уж сложно».
BleepingComputer трижды обращался в Meta за комментариями задолго до публикации, но не получил ответа.
Редактор: AndreyEx
