「图」推特官方报告：支持表单可能曝光账号绑定手机的所在国家/地区

「图」推特官方报告：支持表单可能曝光账号绑定手机的所在国家/地区

两年前一位安全研究专家在Twitter的支持表格中发现一个BUG，可能会曝光用户账号所绑定手机号码的国家代码。当时他所提交的BUG报告已经关闭，因为这在当时并没有显示出重大的安全风险。不过现在推特表示这个BUG可能已经被滥用了。

该错误报告详细说明了任何人都可以通过网站的密码重置过程，输入任何人的帐户获取电话号码的国家/地区代码。通过选择“我无权访问”与帐户关联的电子邮件地址，表单将更改并允许用户输入电话号码。但是，当加载该页面时，它会默认自动选择帐户持有者的国家/地区代码。

虽然只有国家代码被泄露，但有人说这足以确定账户持有人居住在哪个国家 – 这在言论和表达自由受到限制的地区可能是危险的。目前尚不清楚该表单是如何被滥用以允许大量抓取特定帐户的国家/地区代码。一位Twitter发言人表示，这个漏洞是由一个只支持webform的API引起的，并且不是开发人员API。