🎙️ Instagram नोट्स ऑडियो लीकेज URL निष्कर्षण के माध्यम से (ठीक किया गया और पुरस्कृत)

🛡️ भेद्यता सारांश

[05/2025] में, मैंने इंस्टाग्राम वेब में एक भेद्यता खोजी जो किसी भी उपयोगकर्ता को एक नोट से मूल वीडियो फ़ाइल निकालने और पृष्ठभूमि ऑडियो तक पहुँचने की अनुमति देती थी, जो सार्वजनिक रूप से उपलब्ध नहीं होना चाहिए था। इसने नोट्स सुविधा के गोपनीयता मॉडल को बायपास कर दिया, जहाँ वीडियो को चुपचाप प्रदर्शित किया जाना चाहिए।

⚠️ इस भेद्यता को जिम्मेदारी से प्रकट, मान्य और ठीक किया गया है। मैंने इसे मेटा को उनके बग बाउंटी प्रोग्राम के माध्यम से रिपोर्ट किया और इस खोज के लिए मुझे $1000 से पुरस्कृत किया गया। केस आईडी: 3950957211809485

मूल कारण का पता डेटा स्वच्छता प्रक्रिया से लगाया गया जो कुछ सर्वर नोड्स पर वीडियो नोट्स अपलोड करते समय उपयोग की जाती है। अमेरिकी सर्वरों पर यह भेद्यता प्रकट नहीं हुई, जिससे मेटा के इंजीनियरों के लिए पहले इस मुद्दे को पुन: उत्पन्न करना कठिन हो गया।

🔍 प्रभाव

तत्व का निरीक्षण करके और प्रत्यक्ष वीडियो URL कॉपी करके, कोई भी उपयोगकर्ता मूल वीडियो प्राप्त कर सकता था — ऑडियो सहित — भले ही इंस्टाग्राम नोट्स ऑडियो प्लेबैक को दबाने के लिए डिज़ाइन किए गए हैं। इससे उपयोगकर्ता द्वारा अपलोड की गई निजी बातचीत, परिवेशी ध्वनियाँ, या अनपेक्षित पृष्ठभूमि सामग्री उजागर हो गई।

🧪 प्रमाण की अवधारणा

📹 वीडियो: instagram_notes_audio_leakage.mov

चरण:

1. इंस्टाग्राम वेब खोलें और कोई वीडियो नोट देखें।
2. ब्राउज़र DevTools खोलें (राइट-क्लिक करें > निरीक्षण करें)।
3. <video controls> या टैग ढूंढें और URL कॉपी करें।