トロント大学ハッカソン：偶然発見された脆弱性

トロント大学の学生が、GenAI Genesis 2025ハッカソンへの登録中に、偶然脆弱性を見つけました。パスワードをリセットした後（パスワードマネージャーがパスワードを保存できなかったため）、リセットリンクがFirebaseアプリを指していることに気づきました。好奇心から、一般的なFirebaseの脆弱性悪用手法を試してみました。そして、ウェブサイトがアプリケーションの状態を更新する際に、必要なフィールドだけでなく、アプリケーションオブジェクト全体を書き込んでいることを発見しました。この脆弱性を悪用することで、彼は自分の応募状況を「承認済み」に成功裏に変更しました。さらに、レビューの結果、レビュー担当者の情報、コメントなど、機密情報が漏洩する脆弱性も発見しました。この脆弱性は修正されました。