Сообщений в теме: 2

[Алексуров]

Я видел, что некоторые через дыру ВК могут как-то посмотреть прикрепленные изображения к неопубликованной статьи. Поделитесь способом, если кто знает.

Администрация форума не имеет отношения к пользователям форума и к публикуемой ими информации. Пользовательское соглашение

[sivcovs726]

Перехват запросов (Network Tab):

Когда картинка перетягивается в редактор статьи, в браузере во вкладке «Инструменты разработчика» (F12 -> Сеть / Network) можно отследить POST-запрос к API загрузки (например, методы связанные с photos.save или специфическими эндпоинтами редактора статей). В ответе сервера часто возвращается прямой JSON-объект, содержащий постоянные ссылки (url) на все загруженные исходники, независимо от того, опубликована статья или нет.Перебор ID / Утечки через API:

В разное время в API ВКонтакте находили логические уязвимости (IDOR), когда изменение параметров в методах получения контента статьи (articles.get или аналогичных внутренних методах) позволяло передать ID черновика. Если права доступа на стороне сервера проверялись некорректно, API возвращал JSON-ответ со всеми метаданными, включаяпрямые ссылки на прикрепленные медиафайлы (фото, обложки, видео).Анализ исходного кода черновика:

Если у вас есть доступ к черновику (например, вы соавтор, либо в системе были проблемы с кэшированием страниц для редакторов), в исходном коде страницы редактирования (DOM-дереве) во время сеанса автосохранения подгружаются блоки с JSON-данными, где прописаны ID всех прикрепленных элементов.

[Алексуров]

Тут со стороны обычного пользователя, а не со стороны администрации сообщества, имею ввиду