Уязвимость на сайте налоговой России

[Dimoks]

Уязвимость на сайте налоговой России

Критическая уязвимость на сайте налоговой России

Есть там такой сервис, в котором по своему ИНН можно узнать долги по недвижимости, транспортному налогу и т.д.

Тільки зареєстровані користувачі бачать весь контент у цьому розділі

Удобная штука и на первый взгляд приватная. Только вот паралелльно там работает сервис для напоминания ИНН с огромной дырой.

Тільки зареєстровані користувачі бачать весь контент у цьому розділі

Казалось бы, штука надежно защищена. Чтобы узнать свой ИНН надо знать паспортные данные.
Но видимо или кодеры поленились, или бабки слишком распилили, но проверки валидности паспортных данных там нет. Можно вводить что угодно, главное, чтобы формат совпадал. То есть любой злоумышленник может ввести ваше ФИО и дату рождения и получить ИНН. А по ИНН распечатать все долги.

Таким нехитрым способом, например, можно узнать ИНН путина и все его задолженности.

Мелочь конечно, но для гос. учреждения такого уровня позорная.

прислал инфу spokuhin, закидайте мое мыло pr.teh.nomad@gmail.com интересностями

(с)

Тільки зареєстровані користувачі бачать весь контент у цьому розділі

путин Владимир, ИНН 773600605568
Медведев Дмитрий, ИНН 781610358600
задолженности нет

Ходорковский Михаил , ИНН 770200035117, Налог (53024263.00), Пеня (97796100.12)

 

[dimik1]

....хотя по-моему вся налоговая России, впрочем как и наша - одна большая уязвимость

 

[ValB]

Кстати дыра работает.

 

[чапаев]

Насколько я понял -
"Данный сервис позволяет:
узнать свой ИНН;
узнать ИНН физического лица."
Обе формы совпадают , поэтому и образовалась дыра. Скоро закроют.