2SDnjc1JCzF
Финтех-API пустил без авторизации из-за лишнего слэша в адресе
Исследователь сообщил о баге в мобильном API финтех-компании, где добавление слэша в конце URL меняло результат запроса. Обычный GET /v1/accounts возвращал 401 Unauthorized, а GET /v1/accounts/ - 200 OK и данные аккаунтов. По словам автора, уязвимость принесла ему $12 тыс. bug bounty.
API работал на AWS HTTP API с Lambda authorizer, который проверял JWT через Cognito. Проблема возникла из-за рассинхронизации между маршрутизацией API Gateway, проверкой авторизации и backend-интеграцией: один слой считал путь защищенным, другой переписывал URL и передавал запрос дальше уже без корректного auth-контекста.
По описанию исследователя, похожее поведение воспроизводилось не только для /v1/accounts/, но и для путей с двойным слэшем. При этом вариант с query-параметром возвращал 401, а URL-encoded slash приводил к 404. Это помогло локализовать проблему именно в обработке path matching и trailing slash.
Самый опасный эпизод касался POST /v1/transfers/. Автор утверждает, что тот же обход позволял инициировать wire transfer без валидного JWT. Backend проверял принадлежность fromAccount пользователю, но из-за потери authorizer.userId получал undefined и переходил к дефолтному системному аккаунту. Исследователь остановился после тестового перевода на $0,01.
Компания, по словам автора, исправила проблему на следующий день: перешла с HTTP API на REST API с более строгим path matching и добавила проверку userId в каждой Lambda, а не только на уровне authorizer.
История показывает типовой риск serverless-архитектур: авторизация не должна жить только в одном внешнем слое. Даже если API Gateway, authorizer и Cognito настроены правильно по отдельности, переписывание путей, catch-all routes, mock-интеграции и fuzzy matching могут создать обходной маршрут. Критичные Lambda-функции должны сами проверять наличие и валидность userId, а тесты безопасности должны включать варианты с trailing slash, двойными слэшами и нестандартной нормализацией URL.
похожие материалы
НИУ ВШЭ вошёл в десятку лучших мировых разработчиков онлайн-курсов
Национальный исследовательский университет «Высшая школа экономики» (НИУ ВШЭ) стал единственным российским вузом, получившим награду международной премии GMA Awards 2026.
В России сокращается ассортимент ноутбуков Apple, HP и Dell из-за новых правил сертификации
В российских магазинах сокращается ассортимент ноутбуков зарубежных брендов.
Вымогатели парализовали облако SoftBank: пострадали 495 компаний и госструктур
Крупная кибератака на японского облачного провайдера IDC Frontier, принадлежащего SoftBank, нарушила работу 495 компаний и органов власти.
В Москве пройдет конференция TECH WEEK 2026 о цифровой трансформации и искусственном интеллекте
18–19 ноября 2026 года в Москве в шестнадцатый раз пройдет конференция TECH WEEK — деловая конференция, посвященная практическому применению искусственного интеллекта и цифровых технологий в бизнесе.
«Группа Астра» и «Мастер Лаб» обеспечат полную совместимость своего ПО и помогут с цифровизацией здравоохранения
На XXVII международном конгрессе «Информационные технологии в медицине» «Группа Астра» и разработчик МИС для здравоохранения «Мастер Лаб» заключили соглашение о партнерстве в сфере ИТ.
Число критичных киберинцидентов в российском ретейле взлетело на 60%
За первое полугодие 2026 года число инцидентов высокой критичности в российском ретейле выросло на 60% по сравнению с аналогичным периодом 2025 года*.
Обновления Indeed MFA: больше сценариев аутентификации и гибкости в управлении доступом
Компания «Индид» представила ряд значимых функциональных улучшений сервиса многофакторной аутентификации Indeed MFA.
Энергия точных ориентиров: «Knomary: Целеполагание» завоевала серебро в отраслевом рейтинге ECM-Journal
Компания Knomary (входит в «Группу Астра») сообщает о том, что независимый экспертный портал ECM-Journal опубликовал масштабный обзор российских платформ управления по целям 2026 года, в котором система «Knomary: Целеполагание» заняла второе место.
TP-Link оказался под ударом сразу четырех штатов США - роутеры обвиняют в проблемах с безопасностью и связях с Китаем
Сразу четыре американских штата - Флорида, Айова, Небраска и Монтана - подали иски против TP-Link, обвинив производителя в том, что он вводил покупателей в заблуждение относительно безопасности своих роутеров и масштабов связей с Китаем.
Эксперты назвали простые привычки, которые реально защищают аккаунты и деньги от мошенников
Базовая кибергигиена по-прежнему остается одним из самых эффективных способов защиты от захвата аккаунтов и кражи денег.