Sicherheitslücke: Uploaded.net und Jdownloader 1

[orion-x]

Mir ist vorhin aufgefallen das Uploaded.net eine Sicherheitslücke hat was Premium Accounts angeht.
Und zwar teile ich oft Accounts mit meinen Freunden. Nun ist mir aufgefallen das er das Passwort geändert hat da ich mich weder beim erneuten eingeben der Login Daten auf Uploaded.net natürlich nicht anmelden konnte auch ein eintragen der Daten in Jdownloader 2 gab mir ein "Falsche Logindaten" aus.

Jedoch beim Kopieren der alten JDownloader config Dateien hat er den Account angenommen und mich laden lassen... (Passwort war dasselbe welches bei mir immer falsch war) Auch nach Eingabe von irgendwelchen erfundenen Daten bei dem bereits eingetragenen Account lies Jdownloader mich von Uploaded.net laden.

Dann habe ich mir das ganze mal genauer angeguckt und zwar speichert Jdownloader Accounts im Format:

Musteraccount:MusterPw true Property: {token=211R882Defgw2312632, free=false, tokenType=premium}

Und da Jdownloader die API von Uploaded.net nutzt scheint es bei der Übergabe der Daten zu reichen den Token zum Download einer Datei zu übergeben. Woraus folgt, war ein Uploaded.net Account einmal in Jdownloader eingetragen, ist es egal ob und wie man die Account Daten abändert man anhand des nicht veränderten Tokens endlos weiter Zugang hat, selbst nach einem Passwort Change des Besitzers.

Fazit: Gebt acht mit wem ihr euren Uploaded.net Account teilt trägt er sie einmal in JDownloader ein und behält seine Config Dateien wird er den Zugang behalten selbst nach einem Passwort wechsel von eurer Seite.

Korrigiert mich wenn ich mit meiner Vermutung Falsch liege, ich hatte nur keine andere Erklärung dafür wieso mich Jdownloader trotz Fakedaten weiter vom Account laden lässt und das schon seit mehreren Monaten mir ist der PW Change erst heute aufgefallen als ich mich versucht habe auf Uploaded.net einzuloggen.

[Drain]

Sehr genial, eventuell reicht es nun, dass man den Token und das Passwort weiter gibt und kein fremder mehr das Passwort changen kann (wenn man andere mitusen lässt)