Click to Pray: Offizielle Papst-App leakt E-Mails von über 700.000 Nutzern
Ein Sicherheitsforscher entdeckte in der offiziellen Gebets-App des Papstes eine gravierende Schwachstelle. Über Monate konnten persönliche Daten von Hunderttausenden Nutzern ohne Anmeldung abgerufen werden.
Eine schwerwiegende Sicherheitslücke in der offiziellen Gebets-App Click to Pray hat über Monate persönliche Daten von mehr als 700.000 registrierten Nutzern offengelegt. Nach Angaben des Sicherheitsforschers "BobDaHacker" konnten Informationen wie Namen, E-Mail-Adressen, Geburtsdaten und Herkunftsländer ohne ausreichende Zugriffskontrolle über die Programmierschnittstelle der Anwendung abgerufen werden. Dem Bericht zufolge entdeckte der Forscher die Schwachstelle bereits Anfang Januar 2026 und informierte mehrere Kontaktadressen der Betreiber.
Ebenfalls spannend: Zugverkehr: Bund startet milliardenschweres Förderprogramm für digitale Bahntechnik
Schwachstelle erlaubte den Zugriff auf fremde Konten
Auslöser war eine sogenannte "Insecure Direct Object Reference" (IDOR). Dabei genügte es, die fortlaufende Benutzerkennung in einer Anfrage zu verändern, um die Daten anderer Konten abzurufen. Da die Anwendung weder eine Berechtigungsprüfung noch eine Begrenzung der Anfragen implementierte, ließ sich der komplette Datenbestand automatisiert auslesen. Zum Zeitpunkt der Untersuchung umfasste die Datenbank 719.517 registrierte Konten.
Ebenfalls spannend: Cities: Skylines 2 nach dem Entwicklerwechsel: Ist das Spiel endlich gerettet?
Zusätzlich stellte der Forscher fest, dass der Verifizierungscode für neue Konten direkt über die Programmierschnittstelle ausgegeben wurde. Dadurch konnten neu angelegte Benutzerkonten bestätigt werden, ohne auf die eigentliche Bestätigungs-E-Mail zugreifen zu müssen. Außerdem sollen die automatisch versendeten Bestätigungsnachrichten Schwächen bei der E-Mail-Authentifizierung aufgewiesen haben.
Nach Angaben des Forschers blieben mehrere Hinweise an die Verantwortlichen über Monate unbeantwortet. Auch eine Anfrage des Journalisten Nate Nelson von Dark Reading führte zunächst zu keiner Reaktion. Obwohl die Sicherheitslücke inzwischen behoben wurde, erhielt der Forscher nach eigenen Angaben weder eine Bestätigung seiner Meldung noch eine offizielle Rückmeldung der Betreiber.
Mitmachen und kommentieren:
Wie bewerten Sie den Umgang mit gemeldeten Sicherheitslücken? Sollten Betreiber bei Hinweisen schneller reagieren? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Quelle: BobDaHacker
