بعد آخر مشاركة لي حول فشل خطاف الويب الخاص بـ Stripe بصمت لمدة 5 أيام، وقع الحادث التالي بعد يومين.
"يقول موظفونا إنهم لا يستطيعون تسجيل الدخول. ولم يغيروا كلمة المرور الخاصة بهم."
أبلغ متجر آخر عن نفس الأعراض. "يحدث ذلك في بعض الأحيان."
وتبين أن هذه "أحيانًا" كانت عبارة عن ثغرة أمنية لتجاوز مصادقة واجهة برمجة التطبيقات (API) عمرها 4 سنوات. منشور Build-in-Public رقم 8 — سجل الحوادث الكامل.
لقد راجعت قاعدة البيانات. تم بالفعل تحديث عمود كلمة مرور الحساب المتأثر (تجزئة bcrypt) في ذلك الصباح. لكن المستخدم يقول أنهم لم يغيروه.
فرضيتي الأولى: خطأ في لوحة إدارة الموظفين حيث يؤدي تحرير طاقم التمثيل (= المؤدي / الموظف) إلى استبدال كلمة المرور الخاصة بهم بصمت. مشكلة الحقل المخفي لحالة نموذج التفاعل الكلاسيكي.