Lumaktaw sa nilalaman

Data breach

Paano nangyari ang breach

Kung saan nagmula ang na-publish na data, at kung bakit bukas dito ang sariling panel ng Exoliner.

Kung saan nagmula ang data

  1. Ang panel export (28 Setyembre 2026)

    Lahat ng nasa site na ito ay na-export sa pamamagitan ng mismong mod panel ng Exoliner: mga user account, script execution log, Discord ticket transcript, moderation record at ang sariling statistics snapshot ng panel. Ang export ay kinuha sa ilang staff-level na pull mula sa higit sa isang source.

  2. Ikinumpara sa mas naunang leak (Hunyo 2025)

    Isang mas lumang database export ng Exoliner mula Hunyo 2025 ang isinama para punan ang mga puwang na iniwan ng panel export: libu-libong account email, Discord ID, naka-link na Roblox ID, email-verified flag at ang eksaktong petsa ng signup na makikita na ngayon sa accounts page.

  3. Bakit ito posible

    Isang independent na security assessment ng panel at API ng Exoliner ang nakakita na ang anumang staff-rank na account ay maaaring magpatakbo ng mga platform-wide na operation na walang audit, na walang export limit at walang audit alert. Ang data sa ibaba ay panel at API lamang. Binabanggit ng assessment na may iba pang isyu ang pangunahing website na hindi inilista rito.

Bakit ito posible

Walang nakitang paraan ang assessment para makapasok ang taga-labas. Ang exposure na idinodokumento nito ay blast radius: anumang account na may staff rank ay maaaring magpatakbo ng mga write operation na walang audit laban sa platform-wide na configuration, kasama ang isa na maaaring sabay-sabay na sumira sa executor ng lahat ng user.

1 kritikal3 mataas5 katamtaman5 mababa
Sinuri exoliner.wtf and api.serverside.plusMga petsa 3 hanggang 5 Oktubre 2026Paraan bundle reverse-engineering, humigit-kumulang 3,700 endpoint probe, nmap, nuclei sa 13,742 template, TLS analysis at authorization-bypass matrix

Ang nakita ng assessment

Ang bawat finding ay inilalarawan mula sa assessment ng panel at API ng Exoliner. Hindi nito sakop ang pangunahing website, na ayon sa assessment ay may iba pang isyu.

Kritikal

1

  • Walang audit na pag-overwrite ng global offsets

    C-1

    Iniulat ng assessment na tinanggap ng PUT /v1/staff/offsets ang anumang staff token na walang owner gate at walang isinulat na audit entry. Isang request ang pumalit sa mga offset na umaasa ang executor ng bawat user. Sa testing, ang kabuuang offset ay bumaba mula 401 hanggang 1 sa isang tawag, na walang preview, kumpirmasyon o approval.

Mataas

3

  • Anumang support transcript ay mababasa gamit ang ID

    H-1

    Iniulat na ibinabalik ng GET /v1/staff/tickets/{id}/transcript ang anumang ticket ayon sa sunod-sunod na integer na walang ownership check, kaya nae-expose ang buong pribadong usapan kasama ang mga Discord user ID at attachment.

  • Maaabot ng staff ang pagbura ng script

    H-2

    Iniulat na nagbalik ng success ang DELETE /v1/scripts/delete sa isang staff token na walang ownership check, kaya may kakayahang burahin ang anumang script ayon sa ID na walang soft-delete o audit row.

  • Walang rate limit sa buong-table na enumeration

    H-3

    Iniulat ng assessment ang pag-dump sa buong user table, 13,483 record, sa 135 request sa loob ng 25 segundo na walang nakuhang rate-limit response.

Katamtaman

5

  • Walang step-up 2FA sa mga privileged na write

    M-1

    Iniulat na tumatanggap ng payak na bearer token ang offsets, execute, strike, game toggle, max players, AI review settings, moderation intel at chat mute, kaya hindi na kailangan ng pangalawang factor ng nanakaw na session.

  • 30-araw na token, walang ipinapatupad na kill switch

    M-2

    Iniulat na eksaktong 30 araw tumatagal ang mga token na walang refresh endpoint, at ang authVersion field na magpapahintulot sa isang aksyon na bawiin ang bawat session ay ibinabalik ngunit hindi ipinapatupad sa server.

  • Maisusulat ng anumang staff ang mga anti-detection rule

    M-3

    Iniulat na tumatanggap ng create at delete mula sa anumang staff account ang mga moderation-intel endpoint na nag-iimbak ng mga anti-detection rule ng Exoliner, kaya maaaring i-disable o sirain ang mga rule na iyon.

  • Nae-expose sa staff ang mga binurang pribadong mensahe

    M-4

    Iniulat na ine-expose nang buo ng chat audit endpoint ang mga binurang pribadong mensahe sa anumang staff, kasama ang nilalaman ng mensahe, ang target na user ID at ang staff member na bumura nito.

  • Pagkakalantad ng data sa staff tier

    M-5

    Iniulat na naglalabas ang mga staff endpoint ng revenue estimate, ng eksaktong rank distribution, mga Discord ID, ng buong moderation log at ng place-level na latency at bilang ng server.

Mababa

5

  • Mahinang frontend content-security-policy

    L-1

    Iniulat na pinapayagan ng frontend policy ang unsafe-inline at unsafe-eval na walang nonce, kaya anumang cross-site scripting flaw ay maaaring bumasa ng staff session mula sa local storage.

  • Sirang user search

    L-2

    Iniulat na hindi pinapansin ang bawat search parameter sa users endpoint at ibinabalik ang parehong unfiltered na unang page, kaya posibleng nagkakamali ng account ang kumikilos na staff.

  • Pampublikong pagbubunyag ng impormasyon

    L-3

    Iniulat na naglalabas ng uptime at live total ang mga unauthenticated na health at stats endpoint, at ang magkakaparehong 404 body ay nagpapahintulot na ma-enumerate ang route table.

  • Mga server error dahil sa type confusion

    L-4

    Iniulat na nagdudulot ng mga hindi na-handle na 500 error sa ilang endpoint ang mga input na hindi string. Malinis ang mga error body, kaya mas mukha itong isyu sa reliability kaysa disclosure.

  • Dobleng backend hostname

    L-5

    Iniulat na naghahatid ng magkaparehong route at authorization mula sa iisang process ang dalawang hostname, na nagdodoble sa attack surface at nagpapahintulot na malusutan ang per-host allowlist sa pamamagitan ng kakambal nito.

Mas gusto ang mahahanap na record? I-browse ang mga account