В боте для MAX нашли повторную дыру в безопасности — на этот раз с уже более громким последствием. Автор пишет

В боте для MAX нашли повторную дыру в безопасности — на этот раз с уже более громким последствием. Автор пишет, что три месяца назад предупреждал о проблеме в Ze-Post, а теперь уязвимость вскрыли в боте «Отложка».

Что важно по технике:
— уязвимость лежит на уровне логики бота, а не интерфейса;
— подобные эксплойты обычно дают доступ к чужим действиям без полноценной авторизации;
— если бот завязан на расписания, отложенные публикации и доступ к рабочим чатам, риски идут дальше «неудобства» — это уже вопрос контроля контента и доступа к данным.

Для ecom-команд это сигнал не про MAX как платформу, а про любой бот-сервис в связке с продажами, поддержкой и операционкой. Если у вас через ботов идут заявки, уведомления, постинг или интеграции с CRM — проверьте:
1) кто и как подтверждает действия;
2) есть ли ограничение прав по ролям;
3) можно ли подменить ID, чат или сценарий выполнения.

Вывод простой: «самый надежный бот» — это не статус, а зона риска, пока не пройдена нормальная проверка безопасности. 🔍