เมื่อวันที่ 4 มิถุนายนที่ผ่านมา Jouko Pynnönen นักวิจัยด้านความปลอดภัยจาก Klikki Oy ได้รายงานช่องโหว่ของ Uber ไปที่เว็บ HackerOne โดยให้รายละเอียดว่าในแต่ละโดเมนของ uber.com นั้น (*.uber.com) ส่วนมากจะใช้ WordPress CMS ในการพัฒนาเว็บไซต์ซึ่งไม่ได้ใช้ระบบ Login ของ WordPress แต่ใช้งานปลั๊กอิน OneLogin ที่เป็นระบบ Single sign-on (SSO) ในการพิสูจน์ตัวตนแทน Pynnönen พบช่องโหว่สามารถส่งค่า username, email รวมไปถึง role ที่ต้องการเข้าไปในขั้นตอนการ Login เข้าสู่ระบบได้ โดยถ้า username ไม่ตรงกับในฐานข้อมูล ปลั๊กอิน OneLogin จะทำการสร้างบัญชีผู้ใช้ใหม่ส่งผลทำให้ผู้โจมตีสามารถคาดเดาข้อมูลบางอย่างในสิทธิ์ของผู้ดูแลระบบได้เช่น email, username ของผู้ดูแลระบบเป็นต้น ทำให้สามารถเข้าถึงระบบของเว็บไซต์ newsroom.uber.com และอาจทำให้เข้าถึงระบบอื่นๆใน Internal network ของ Uber ต่อไปได้ อย่างไรก็ตาม Pynnönen ได้รับเงินรางวัลการแจ้งช่องโหว่จาก Uber เป็นจำนวน 10,000 ดอลลาร์ ซึ่งเป็นเงินรางวัลที่ Uber จ่ายให้กับโครงการ Bug Bounty มากที่สุดในเวลานี้
ที่มา: grahamcluley, hackerone