이번에 판매하게 된 로스트아크 설정집 (초기 컨셉 아트, 스토리 관련, 향후 업데이트 방향성등) 을 오늘 오후 2시에 판매하게됨
판매하는 등급은 두가지 일반판, 한정판(굿즈 회중시계랑 뭐 스티커 같은거 얹어줌)
그런데 판매 과정에서 몇가지 이슈가 생김
1. 다른 사람 배송지 목록
배송지 목록 조회하게 되면 다른 사람이 입력한 배송지 정보가 그대로 노출됨
뭐 api에서 파라미터 안보내면 최신순으로 뿌리게 구현을 한건지 뭔지는 짐작도 안가지만
암튼 이름, 집주소, 폰번호 그냥 공공정보행 ㅋㅋㅋ
(+ 모든 사람한테 다 노출된건 아님. 일부 사람들만 저렇게 볼 수 있었던 듯. 해당 게임 인벤 30추에는 구매한 스트리머 정보를 찾을 수 있냐라는 댓글도 있음)
2. url에 id, pw 즉시 노출
... 다음으로 넘어가자
3. 다른 사람 구매 내역서 확인 (해당 부분은 카더라로만 도는중)
상품 페이지 url을 살펴보면 도메인주소/0000000286 (한정판 상품 코드) 이렇게 되어있음.
당연히 구매한 내역 페이지도 구매 내역에 대한 코드가 존재할텐데,
이 코드를 임의로 변경해서 다른 사람 구매 내역을 훔쳐볼 수 있다고 함(?)
예를 들어서 내가 구매를 했음 -> 도메인주소/purchased/001 (김개붕이 구매한 내역에 대한 코드)
도메인주소/purchased/002 를 입력하면 박개붕이가 구매한 구매 내역 페이지가 조회가 된다는 것.
왜 코드와 계정 사이의 유효성 검증을 생략한건지는 나도 몰?루
대단하다 스마게!
Copyright ⓒ 유머톡톡 무단 전재 및 재배포 금지
