Aller au contenu

Fuite de données

Comment la fuite est arrivée

D'où viennent les données publiées, et pourquoi le panneau d'Exoliner leur était ouvert.

D'où viennent les données

  1. L'export du panneau (28 septembre 2026)

    Tout ce qui figure sur ce site a été exporté via le panneau de modération d'Exoliner : comptes utilisateurs, logs d'exécution de scripts, transcriptions de tickets Discord, dossiers de modération et l'instantané de statistiques du panneau. L'export a été réalisé en plusieurs extractions au niveau staff, depuis plus d'une source.

  2. Recoupé avec une fuite antérieure (juin 2025)

    Un ancien export de la base d'Exoliner datant de juin 2025 a été fusionné pour combler les lacunes de l'export du panneau : des milliers d'e-mails de comptes, des IDs Discord, des IDs Roblox liés, des indicateurs d'e-mail vérifié et les dates d'inscription exactes désormais affichées sur la page des comptes.

  3. Pourquoi c'était possible

    Une évaluation de sécurité indépendante du panneau et de l'API d'Exoliner a constaté que tout compte de rang staff pouvait lancer des opérations non auditées sur toute la plateforme, sans limite d'export ni alerte d'audit. Les données ci-dessous concernent uniquement le panneau et l'API. L'évaluation note que le site principal présente d'autres problèmes, non répertoriés ici.

Pourquoi c'était possible

L'évaluation n'a trouvé aucun moyen d'entrée pour un tiers extérieur. L'exposition qu'elle documente est le rayon d'impact : tout compte avec le rang staff pouvait lancer des écritures non auditées sur la configuration de toute la plateforme, dont une capable de casser l'exécuteur de tous les utilisateurs d'un coup.

1 critique(s)3 élevée(s)5 moyenne(s)5 faible(s)
Évalué exoliner.wtf and api.serverside.plusDates Du 3 au 5 octobre 2026Méthode rétro-ingénierie du bundle, environ 3,700 sondages de endpoints, nmap, nuclei sur 13,742 modèles, analyse TLS et matrice de contournement des autorisations

Ce que l'évaluation a constaté

Chaque constat est décrit d'après l'évaluation du panneau et de l'API d'Exoliner. Elle ne couvre pas le site principal, dont l'évaluation note qu'il présente d'autres problèmes.

Critique

1

  • Écrasement global des offsets sans audit

    C-1

    L'évaluation rapporte que PUT /v1/staff/offsets acceptait n'importe quel jeton staff, sans filtre propriétaire, et n'écrivait aucune entrée d'audit. Une seule requête remplaçait les offsets dont dépend l'exécuteur de chaque utilisateur. Lors des tests, le total des offsets est passé de 401 à 1 en un seul appel, sans aperçu, confirmation ni approbation.

Élevée

3

  • Toute transcription de support lisible par ID

    H-1

    GET /v1/staff/tickets/{id}/transcript renverrait n'importe quel ticket via un entier séquentiel, sans vérification de propriété, exposant des conversations privées complètes, avec les IDs d'utilisateurs Discord et les pièces jointes.

  • Suppression de scripts accessible au staff

    H-2

    DELETE /v1/scripts/delete aurait renvoyé un succès avec un jeton staff, sans vérification de propriété, permettant de supprimer n'importe quel script par ID, sans suppression logique ni ligne d'audit.

  • Aucune limite de débit sur l'énumération complète de la table

    H-3

    L'évaluation rapporte l'extraction de toute la table des utilisateurs, 13,483 enregistrements, en 135 requêtes sur 25 secondes, sans aucune réponse de limitation de débit.

Moyenne

5

  • Pas de 2FA renforcée sur les écritures privilégiées

    M-1

    Offsets, execute, strike, activation des jeux, max players, réglages de la revue par IA, moderation intel et mute du chat accepteraient tous un simple jeton bearer, si bien qu'une session volée n'a besoin d'aucun second facteur.

  • Jetons de 30 jours, aucun kill switch appliqué

    M-2

    Les jetons dureraient exactement 30 jours, sans endpoint de rafraîchissement, et le champ authVersion, qui permettrait de révoquer toutes les sessions d'une seule action, est renvoyé mais pas appliqué côté serveur.

  • Règles anti-détection modifiables par tout le staff

    M-3

    Les endpoints moderation-intel qui contiennent les règles anti-détection d'Exoliner accepteraient la création et la suppression depuis n'importe quel compte staff, si bien que ces règles pourraient être désactivées ou corrompues.

  • Messages privés supprimés exposés au staff

    M-4

    L'endpoint d'audit du chat exposerait en entier les messages privés supprimés à n'importe quel membre du staff, avec le contenu du message, l'ID de l'utilisateur ciblé et le membre du staff qui l'a supprimé.

  • Exposition de données au niveau staff

    M-5

    Les endpoints staff divulgueraient une estimation des revenus, la répartition exacte des rangs, des IDs Discord, le journal de modération complet, ainsi que la latence et le nombre de serveurs par place.

Faible

5

  • Content-security-policy faible côté frontend

    L-1

    La politique du frontend autoriserait unsafe-inline et unsafe-eval sans nonce, si bien qu'une faille de cross-site scripting pourrait lire une session staff dans le stockage local.

  • Recherche d'utilisateurs défaillante

    L-2

    Chaque paramètre de recherche de l'endpoint des utilisateurs serait ignoré, renvoyant toujours la même première page non filtrée, si bien que le staff pourrait agir sur les mauvais comptes.

  • Divulgation d'informations publiques

    L-3

    Les endpoints de santé et de statistiques non authentifiés divulgueraient la disponibilité et les totaux en direct, et des corps de réponse 404 uniformes permettraient d'énumérer la table des routes.

  • Erreurs serveur par confusion de types

    L-4

    Des entrées qui ne sont pas des chaînes provoqueraient des erreurs 500 non gérées sur plusieurs endpoints. Les corps d'erreur restent propres, ce qui relève de la fiabilité plutôt que de la divulgation.

  • Nom d'hôte backend en double

    L-5

    Deux noms d'hôte serviraient des routes et des autorisations identiques depuis le même processus, doublant la surface d'attaque et rendant une liste d'autorisation par hôte contournable via le jumeau.

Tu préfères la base consultable ? Parcourir les comptes