Quand le site Paypal se paye une belle peur

Petite montée de stress dans le système de paiement en ligne Paypal : une ...

Petite montée de stress dans le système de paiement en ligne Paypal : une faille a été découverte dans ce service propriété d’Ebay, par un usager un poil plus curieux que les autres.

Résumé : certains des mails commerciaux envoyés par Paypal contiennent une fonction « unsubscribe ». Par simple clic, le destinataire a la possibilité de se désinscrire de la mailing et retrouver le calme d’antan. Classique.

Toutefois, à l’analyse le code qui se cache derrière le lien en question, on se rend compte que sa structure est du type :
http://ebay.benchmarkportal.com/paypal/opt_out.zzzzid=XXXX
avec XXXX un numéro correspondant à l’identification de l'abonné (zzzz est volontairement caché)

Le hic est qu’après un rapide test, l'usager a découvert qu'en modifiant ce numéro, on accède au mail de dizaine de milliers d'usagers enregistrés auprès de Paypal. Dans de telles conditions, une société tierce peut alors savoir qui est titulaire d'un compte paypal, le desinscrire unilatéralement de la mailing, ou pourquoi pas se constituer une bonne base à spammer.

Découverte il y a quelques heures, la faille a été heureusement colmatée par Benchmarkportal, le prestataire chargé de cette section. Ouf !

Avant :