Иногда самая неприятная уязвимость — не та, где «взломали красиво», а та, где сервер просто не успел договорит

Иногда самая неприятная уязвимость — не та, где «взломали красиво», а та, где сервер просто не успел договориться сам с собой.

Race Condition я в редакторском режиме люблю сравнивать с двумя журналистами, которые одновременно отправили правки в один и тот же текст. Если система не умеет синхронизировать действия, результат становится лотереей: где-то вылезет баг, а где-то — уже дыра в безопасности.

Что это даёт атакующему? Иногда — двойное списание денег, иногда — обход лимитов, иногда — доступ к чужому аккаунту. То есть проблема не в «громком» эксплойте, а в банальном одновременном доступе к одним и тем же данным.

У таких уязвимостей обычно есть три типовых сценария: гонка за ресурс, гонка за статус и гонка за проверку. И да, именно в этих местах я бы первым делом искал слабое звено, если сервис ведёт себя как будто живёт в нескольких временных линиях одновременно 🧩