hackerone-clario-2020-05-m-783117

IDOR at `https://account.mackeeper.com/at/load-reports/profile/<profile_id>` leaks information about devices/licenses

https://account.mackeeper.com/at/load-reports/profile/<profile_id>에 IDOR가 있었다. profile_id를 변경하여 임의의 계정 정보에 접근할 수 있었다. 여기에는 장치나 라이센스에 대한 정보가 있었다.

로그인을 한 후 원하는 profile_id를 이용해 https://account.mackeeper.com/at/load-reports/profile/+[USER PROFILE ID]+?type=0&offset=0에 접속하면 됐다.