mixiに報告した脆弱性3（＋報告しなかった脆弱性）

mixiの脆弱性報告制度（終了）に報告した脆弱性と報告しなかった脆弱性。子会社の株式会社Diverseが運営するYYCという出会い系サイトについて。

拒否設定について

• 2014/03/12 報告
• 2014/04/11 修正完了、仕様であるため制度の対象外との連絡

YYCには特定の相手を拒否できる機能がある。この機能の説明に、

拒否したことが相手にわからない？
拒否したことはお相手にはわからないようになっています。安心してご利用ください。

との記載がある。たしかに、拒否された相手のページにアクセスすると退会したかのように表示され、拒否されたのかどうかが分からない。拒否されたかどうかを知る方法があったので報告した。方法は簡単で、新規にIDを取って相手のページにアクセスするだけ。↑の記載の削除という対応だった。

無料でメールを送れる

• 2014/05/12 報告
• 2014/05/12 修正完了

出会い系サイトはメールの送信が有料の場合が多い。YYCもそうだけど、特定の文面のメールならば無料で送ることができた。脆弱性報告制度の対象期間内に見つけたけれど、なぜか、メールを送れるだけだし脆弱性ではないなと思い報告していなかった。冷静に考えると脆弱性な気がしたので後から報告した。mixiの脆弱性報奨制度は、有料の機能が無料で使える場合、比較的報酬が高いので惜しいことをしたかもしれない。

YYCのスマホ版にはマナー返信という機能があって、お断りの定型メールは無料で送れる。

それぞれのメール送信のURLは、

http://lite.yyc.co.jp/my/mail_box/send/manner_reply?id=36&target_id=(送信相手のユーザーID)

こんな感じ。パラメタのidを書き換えたら、この5個の文面以外に、「写真を送ってくれませんか？」とか「恋人探してます！メールしましょう！」とかが出てきた。

後ろのほうのidだと「年齢認証しました」とか「個人情報が含まれているので削除しました」とか運営向けのメッセージだった。運営向けのメッセージに近いidに「このメールがどんな人に届くのかドキドキしています。」というような文面が何個かあり、これはもしかして運営がサクラをしていたという証拠では！？と思ったが、訊いてみたところ、ボトルメールという機能の定型文とのことだった。疑ってすみませんでした。