Автор нескольких статей на «Хабрахабр», известный на сайте под псевдонимом lamamer опубликовал информацию об уязвимости в программном обеспечение «Рос.Такси» для таксопарков, который зимой «Яндекс» купил за 1 млрд рублей. Используя обычный перебор идентификаторов, уязвимость позволяет сформировать базу данных всех водителей «Яндекс.Такси» во всех городах с их телефонами, рейтингами, номерами прав, лицензий и другой информацией. Информацию можно было не только получать, но и изменять, например, отменить заказ одной компании и назначить машину другой. Автор утверждает, что «Рос.Такси» содержит множество других уязвимостей, так как по сути является лишь оболочкой к базе данных. «Яндекс» приобретал её с целью увеличения клиентской базы своего сервиса "Яндекс.Такси", но вынужден использовать это ПО, пока готовится более подходящая замена для новых клиентов. Комментируя раскрытую информацию, «Яндекс» сообщил, что уязвимость уже закрыта, но не ответил на вопрос о техническом аудите до или после покупки «Рос.Такси». При этом в оригинальном сообщение на «Хабрахабре» появилось сообщение, что автор статьи стал жертвой взлома своей страницы и не размещал на сайте этой статьи. Наблюдатели утверждают, что информация об уязвимостях была получена от разработчиков «Рос.Такси», которые не получили ничего от продажи их продукта компании «Яндексу» за столь крупную сумму.
Источник