ملف mchire-paradox-exposureتسريب نماذج وبياناتالولايات المتحدة
روبوت التوظيف McHire التابع لـ McDonald's يكشف حتى 64 مليون سجل متقدم عبر كلمة المرور '123456'
وصل باحثون إلى لوحة إدارة روبوت التوظيف Olivia باستخدام بيانات الاعتماد الافتراضية 123456 وثغرة IDOR، ما كشف سجلات محادثات وبيانات اتصال مرتبطة بما يصل إلى 64 مليون طلب توظيف.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 9 يوليو 2025
- الموقع
- الولايات المتحدة
- الهدف
- McDonald's / Paradox.ai
- الخطورة
- عالية
- الجهة المنفذة
- الباحثان الأمنيان Ian Carroll وSam Curry (إفصاح مسؤول)
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
وصل باحثون إلى لوحة إدارة روبوت التوظيف Olivia باستخدام بيانات الاعتماد الافتراضية 123456 وثغرة IDOR، ما كشف سجلات محادثات وبيانات اتصال مرتبطة بما يصل إلى 64 مليون طلب توظيف.
الأثر: كانت الأسماء وعناوين البريد وأرقام الهواتف والعناوين ونصوص محادثات الروبوت المرتبطة بما يصل إلى 64 مليون طلب على McHire قابلة للوصول؛ وقالت Paradox إن الباحثين وحدهما وصلا إلى جزء من السجلات
من نفّذها
الجهة: الباحثان الأمنيان Ian Carroll وSam Curry (إفصاح مسؤول)
الإسناد: أفصح عنها الباحثان بنفسيهما؛ وأكدتها Paradox.ai وMcDonald's
الدافع: بحث أمني؛ ولم يُبلّغ عن أي وصول خبيث
كيف حدثت
أسلوب الهجوم: بيانات اعتماد افتراضية 123456/123456 على حساب امتياز تجريبي تابع لـ Paradox.ai في بوابة إدارة McHire، إضافة إلى ثغرة IDOR في واجهة API داخلية تتيح تعداد قيم lead_id
السبب الجذري: بيانات اعتماد تجريبية افتراضية لم تُغيَّر على بوابة إدارة متصلة بالإنتاج، وغياب فحوصات التفويض على واجهة API لبيانات المتقدمين
التسلسل الزمني
- الباحثان يكتشفان الثغرات ويبلغان Paradox.ai وMcDonald's
- تعطيل بيانات الاعتماد الافتراضية وإصلاح ثغرة IDOR في اليوم نفسه، بحسب McDonald's وParadox.ai
- الإفصاح العلني عبر Wired وBleepingComputer؛ وParadox.ai تعلن برنامج مكافآت للثغرات
الاستجابة
أصلحت Paradox.ai وMcDonald's المشكلات في اليوم نفسه الذي أُبلغ عنها؛ وأطلقت Paradox برنامج مكافآت للإفصاح عن الثغرات
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- BleepingComputer bleepingcomputer.com
- CSO Online csoonline.com
- Cyber Daily cyberdaily.au
الاستشهاد بهذا الملف
روبوت التوظيف McHire التابع لـ McDonald's يكشف حتى 64 مليون سجل متقدم عبر كلمة المرور '123456'. AI Threat Watch, ملف mchire-paradox-exposure, 9 يوليو 2025. https://aithreat.io/ar/cases/mchire-paradox-exposure/
رابط دائم: https://aithreat.io/ar/cases/mchire-paradox-exposure/