2025년 10월까지 일부 인스타그램 비공개 계정의 컨텐츠에 누구나 접근 가능한 취약점이 있었다고 하네요. 막 복잡한 취약점도 아니고 그냥 인스타그램 백엔드에서 권한검증이 제대로 안돼있었던거라 공격 자체도 너무 단순했던..
1. instagram.com/{핸들} 로 프로필 접근
2. 개발자 콘솔 켜서 html 파일 보기
3. polaris_timeline_connection 검색
4. 이미지 CDN 링크가 보호 안된채로 그대로 노출 -> CDN 링크로 원본 이미지 접근; 끝
간단하게 공격 가능한 버그인데, 모든 계정에 해당되는 건 또 아니라고 하니 더 애매하네요. 저는 진작에 악용돼서 누군가 스크랩해뒀을 가능성도 있을거라고 생각.
발견한 사람에 따르면 메타에서는 조용히 패치하고 "재현 불가능한 버그" 처리하고 넘어갔다고 합니다. 흠