В сети появилась информация о баге в магазине приложений Huawei App Gallery, который позволяет бесплатно скачивать платные программы. Об этом написали в Rozetked. 

Подписаться на iGuides в Telegram, чтобы узнать обо всем первым — t.me/iguides

Согласно источнику, ошибку заметил разработчик Дилан Руссель, после чего написал о ней в своем блоге. Обнаружился баг совершенно случайно: Дилан решил разобраться, как работает API AppGallery. Для этого создал собственный API, который возвращает JSON-файл с информацией о размещенном в магазине приложении. 

Для теста он выбрал случайное бесплатное приложение, и обнаружил, что JSON содержит прямую ссылку на скачивание APK. Девелопер проделал то же самое с платным приложением, и с удивлением обнаружил то же самое — софт можно скачать по прямой ссылке из JSON, обходя форму его оплаты. 



Оказалось, что ссылка на скачивание не защищается никакими дополнительными мерами, а просто предоставляется сервером по первому запросу. Более того, скачанный таким образом софт не содержит никаких «барьеров» или проверок — он загружается в обход оплаты и успешно работает на смартфоне. 

Об этой ошибке Руссель сообщил Huawei еще в начале февраля 2022 года. Компания ответила девелоперу и попросила не афишировать этот баг. Однако спустя три месяца уязвимость так и не была закрыта, поэтому информация попала в открытый доступ.