Vazamento de dados
Como o vazamento aconteceu
De onde vieram os dados publicados e por que o próprio painel do Exoliner estava aberto a isso.
De onde vieram os dados
A exportação do painel (28 de setembro de 2026)
Tudo neste site foi exportado pelo próprio painel de moderação do Exoliner: contas de usuários, logs de execução de scripts, transcrições de tickets do Discord, registros de moderação e o snapshot de estatísticas do próprio painel. A exportação foi feita em várias extrações de nível staff, a partir de mais de uma fonte.
Cruzada com um vazamento anterior (junho de 2025)
Uma exportação mais antiga do banco de dados do Exoliner, de junho de 2025, foi incorporada para preencher lacunas da exportação do painel: milhares de e-mails de contas, IDs do Discord, IDs do Roblox vinculados, indicadores de e-mail verificado e as datas exatas de cadastro agora exibidas na página de contas.
Por que foi possível
Uma avaliação de segurança independente do painel e da API do Exoliner constatou que qualquer conta com cargo de staff poderia executar operações em toda a plataforma sem auditoria, sem limites de exportação e sem alertas de auditoria. Os dados abaixo cobrem apenas o painel e a API. A avaliação observa que o site principal apresenta outros problemas, que não estão catalogados aqui.
Por que foi possível
A avaliação não encontrou nenhuma forma de entrada para alguém de fora. A exposição que ela documenta é o raio de impacto: qualquer conta com cargo de staff poderia executar operações de escrita sem auditoria na configuração de toda a plataforma, incluindo uma que poderia quebrar o executor de todos os usuários de uma só vez.
O que a avaliação encontrou
Cada achado é descrito a partir da avaliação do painel e da API do Exoliner. Ela não cobre o site principal, que, segundo a avaliação, apresenta outros problemas.
Crítico
1Sobrescrita global de offsets sem auditoria
C-1A avaliação relata que PUT /v1/staff/offsets aceitou qualquer token de staff, sem restrição ao dono e sem registrar nenhuma entrada de auditoria. Uma única requisição substituiu os offsets dos quais o executor de cada usuário depende. Nos testes, o total de offsets passou de 401 para 1 em uma única chamada, sem prévia, confirmação ou aprovação.
Alto
3Qualquer transcrição de suporte legível por ID
H-1GET /v1/staff/tickets/{id}/transcript, segundo o relatado, retorna qualquer ticket por inteiro sequencial sem verificação de propriedade, expondo conversas privadas completas, incluindo IDs de usuário do Discord e anexos.
Exclusão de scripts acessível ao staff
H-2DELETE /v1/scripts/delete, segundo o relatado, retornou sucesso com um token de staff sem verificação de propriedade, dando a capacidade de excluir qualquer script por ID, sem exclusão lógica nem registro de auditoria.
Sem limite de requisições na enumeração da tabela inteira
H-3A avaliação relata ter extraído a tabela de usuários inteira, com 13,483 registros, em 135 requisições ao longo de 25 segundos, sem nenhuma resposta de limite de requisições.
Médio
5Sem 2FA adicional em escritas privilegiadas
M-1Offsets, execute, strike, alternância de jogos, máximo de jogadores, configurações de revisão por IA, moderation intel e silenciamento de chat, segundo o relatado, aceitam apenas um bearer token simples, então uma sessão roubada não precisa de um segundo fator.
Tokens de 30 dias, sem kill switch aplicado
M-2Os tokens, segundo o relatado, duram exatamente 30 dias, sem endpoint de renovação, e o campo authVersion, que permitiria revogar todas as sessões com uma única ação, é retornado, mas não é aplicado no servidor.
Regras anti-detecção graváveis por qualquer staff
M-3Os endpoints de moderation-intel que guardam as regras anti-detecção do Exoliner, segundo o relatado, aceitam criar e excluir de qualquer conta de staff, de modo que essas regras poderiam ser desativadas ou corrompidas.
Mensagens privadas excluídas expostas ao staff
M-4O endpoint de auditoria de chat, segundo o relatado, expõe mensagens privadas excluídas na íntegra a qualquer staff, com o conteúdo da mensagem, o ID do usuário de destino e o membro do staff que a excluiu.
Exposição de dados do nível staff
M-5Os endpoints de staff, segundo o relatado, vazam uma estimativa de receita, a distribuição exata de cargos, IDs do Discord, o log de moderação completo e a latência e a contagem de servidores por place.
Baixo
5Content-security-policy fraca no frontend
L-1A política do frontend, segundo o relatado, permite unsafe-inline e unsafe-eval sem nonce, de modo que qualquer falha de cross-site scripting poderia ler uma sessão de staff no armazenamento local.
Busca de usuários quebrada
L-2Todos os parâmetros de busca do endpoint de usuários, segundo o relatado, são ignorados, retornando sempre a mesma primeira página sem filtro, de modo que o staff pode estar agindo sobre as contas erradas.
Divulgação pública de informações
L-3Os endpoints de saúde e estatísticas sem autenticação, segundo o relatado, vazam o tempo de atividade e totais ao vivo, e corpos 404 uniformes permitem enumerar a tabela de rotas.
Erros de servidor por confusão de tipos
L-4Entradas que não são strings, segundo o relatado, causam erros 500 não tratados em vários endpoints. Os corpos de erro permanecem limpos, então isso se enquadra em confiabilidade, não em divulgação.
Hostname de backend duplicado
L-5Dois hostnames, segundo o relatado, servem rotas e autorização idênticas a partir do mesmo processo, dobrando a superfície de ataque e tornando possível contornar uma allowlist por host por meio do gêmeo.
Prefere o registro pesquisável? Ver as contas