Анализ: подделка сессии в PHP дала доступ к 13 000 аккаунтов

Исследователь описал цепочку уязвимостей в многопользовательской образовательной платформе: обработчик импорта записывал данные клиента в $_SESSION до проверки авторизации, что позволяло подделать сессию без учётных данных. Токен, подписанный общим секретом QA и продакшена, давал админ-доступ ко всем арендаторам — более 13 000 аккаунтов, а SSRF раскрывал внутренний токен API.

• Обработчик копировал блок сессии из JSON в $_SESSION до проверки роли
• Ответ HTTP 400 всё равно выдавал рабочий cookie support_tool_bearer
• Общий секрет QA и продакшена позволял использовать токен из тестовой среды
• Через SSRF раскрывался токен внутреннего support API