2025-12-26 01:20:17

A API de um conhecido fornecedor de serviços de IA parece ter alguns problemas de design. Atualmente, ainda utiliza uma forma simples de string, o que não é isento de riscos — basta decodificar facilmente o JWT para que informações sensíveis do usuário fiquem expostas. Essa questão herdada de um design inicial apresenta claramente falhas em termos de segurança. Para serviços que lidam com dados de usuários, esse tipo de vulnerabilidade deve ser corrigido o mais rápido possível, não se pode deixar a privacidade dos dados exposta dessa forma.

Ver original

Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.

22 Curtidas

Recompensa
22
7
Repostar
Compartilhar

Comentário

0/400

SchrodingerWallet

· 2025-12-28 02:17

Nossa, ainda dá para jogar assim? Decodificar direto e revelar tudo, esse design realmente é uma porcaria JWT sem proteção, que época estamos? Essa jogada dos grandes realmente é incrível Ainda não foi corrigido em todos esses anos? Parece meio suspeito Então, dados privados estão simplesmente deitados aí, absurdo Já devia ter alguém que descobriu isso, realmente é hora de agir Mas falando nisso, esse tipo de bug legado provavelmente ainda deve ter bastante por aí É um absurdo, os dados dos usuários estão expostos assim, não é de se surpreender que aconteçam problemas Isso é muito mais nojento do que qualquer vulnerabilidade, o design básico já está comprometido

Ver originalResponder0

ColdWalletGuardian

· 2025-12-27 05:17

O JWT expõe diretamente dados privados, quão pouco atencioso é isso, as grandes empresas também fazem assim?

Ver originalResponder0

BTCRetirementFund

· 2025-12-26 01:50

Ai, isto é realmente intolerável, o JWT é decodificado na hora sem proteção? --- Mais uma vez, um problema de design antiquado, quando é que vão corrigir? --- Isto não é como colocar informações privadas na rua, sem qualquer cuidado de segurança. --- As grandes empresas fazem operações assim, a segurança da privacidade é só decoração. --- Já se passaram anos dizendo isso, quando é que vão realmente se preocupar? --- JWT sem criptografia, quão descuidados podem ser os desenvolvedores? --- Um problema herdado de versões antigas, só vão corrigir quando for grave demais, sem palavras. --- Dados sensíveis acumulados assim, como podem chamar essas grandes empresas de confiáveis? --- Parece que esse bug já existia há algum tempo, por que só agora estão falando? --- Expor a privacidade dessa forma é realmente demais, por favor, corrijam logo.

Ver originalResponder0

SingleForYears

· 2025-12-26 01:49

Bro, isto é realmente absurdo, JWT em texto claro? Quão pouco atento eles estão --- Já devia ter mudado, se continuar assim, vai acabar por acontecer alguma coisa --- Espera aí, um plataforma tão grande ainda usa um design tão antiquado? Não pode ser --- Dados de privacidade simplesmente expostos, parece que estamos a correr nus... --- Por que é que ninguém dá importância a isto? É demasiado descuidado --- Desistir, já estou desiludido com as grandes empresas, é tudo assim --- Caramba, ainda há esse tipo de operação? O departamento de segurança está a fazer o quê? --- JWT sem encriptação? Quem foi que pensou nisso? --- Falando sério, se esta vulnerabilidade for descoberta pelo público, vai ser um desastre para a reputação --- Informações sensíveis assim expostas realmente não pode ser assim, é preciso corrigir

Ver originalResponder0

token_therapist

· 2025-12-26 01:45

Esta onda é realmente absurda, JWT decodificado sem proteção? Ainda está usando strings para armazenar chaves nesta era? Já devia ter mudado há muito tempo.

Ver originalResponder0

LiquidationWatcher

· 2025-12-26 01:39

ngl, JWT em texto simples é basicamente pedir para ser destruído... já vi este filme antes, lembra-se quando as chaves de toda a gente estavam apenas... a flutuar por aí? o fator de segurança desse design de API já está na zona de perigo fr. é assim que as posições são liquidadas, exceto que são dados do utilizador em vez de colateral. eles precisam de encriptar essas coisas ontem, não amanhã.

Ver originalResponder0

zkProofGremlin

· 2025-12-26 01:26

O JWT pode ser decodificado diretamente para ver dados privados? Isso é muito fraco... Ainda bem que não coloquei coisas importantes lá

Ver originalResponder0