i12gocaj/instagram-notes-audio-leakage-via-url-extraction-fixedتقرير فني عن ثغرة تم إصلاحها بالفعل في Instagram Notes كانت تعرض الصوت الأصلي لمقاطع الفيديو عبر روابط مباشرة.
🛡️ ملخص الثغرة
في [05/2025]، اكتشفت ثغرة في Instagram Web سمحت لأي مستخدم باستخراج ملف الفيديو الأصلي من ملاحظة والوصول إلى الصوت الخلفي، الذي لم يكن من المفترض أن يكون متاحًا للعامة. تجاوز هذا النموذج الخصوصية لميزة الملاحظات، حيث من المفترض أن يتم عرض مقاطع الفيديو بصمت.
⚠️ تم الإبلاغ عن هذه الثغرة بشكل مسؤول، والتحقق منها، وإصلاحها.
أبلغت عنها إلى Meta عبر برنامج مكافآت الثغرات الخاص بهم وحصلت على 1000 دولار لهذا الاكتشاف.
معرف الحالة: 3950957211809485
تم إرجاع السبب الجذري إلى عملية تنقية البيانات المستخدمة عند تحميل ملاحظات الفيديو على بعض عُقد الخادم. على خوادم الولايات المتحدة لم تظهر الثغرة، مما جعل من الصعب على مهندسي Meta إعادة إنتاج المشكلة في البداية.
🔍 التأثير
من خلال فحص العنصر ونسخ رابط الفيديو المباشر، يمكن لأي مستخدم استرداد الفيديو الأصلي — بما في ذلك الصوت — على الرغم من أن ملاحظات إنستغرام مصممة لكتم تشغيل الصوت. كشف هذا المحادثات الخاصة، الأصوات المحيطة، أو المحتوى الخلفي غير المقصود الذي رفعه المستخدم.
🧪 إثبات المفهوم
📹 فيديو: instagram_notes_audio_leakage.mov
الخطوات:
<video controls> أو <source> وانسخ رابط src.📄 الإفصاح المسؤول
أقرت Meta بالثغرة وتحقق منها، ومنحت مكافأة قدرها 1000 دولار كجزء من برنامج مكافآت الثغرات. ومنذ ذلك الحين تم تصحيح المشكلة بصمت.
👨💻 المؤلف
Javier González Casares
الأمن السيبراني وهندسة البرمجيات