Fuite de données de l’application Click to Pray : 719 517 comptes exposés
Une simple requête GET avec un navigateur suffisait pour récupérer le nom, l’adresse e-mail, le pays et la date de naissance de n’importe lequel des 719 517 comptes de Click to Pray, l’application de prière officielle du Pape. Cette faille a été signalée le 3 janvier 2026 et est restée ouverte pendant près de sept mois, n’étant patchée que le 24 juillet 2026.
Click to Pray est l’application officielle du Réseau Mondial de Prière du Pape, lancée par le pape François en 2019. Disponible sur iOS, Android et le web en sept langues, elle est gérée par le Vatican.
Une vulnérabilité de type IDOR
La faille a été identifiée par un utilisateur sous le pseudo « BobDaHacker ». L’endpoint <code>GET https://api.clicktopray.org/user/users/{id}</code> permettait d’accéder à la fiche complète de n’importe quel compte à partir de son identifiant, sans contrôle d’autorisation ni authentification requise. Pour chaque requête, l’API renvoyait les informations suivantes :
- Prénom et nom
- Adresse e-mail
- Pays d’origine
- Date de naissance
- Rôle du compte
- Statut du compte
De plus, les identifiants utilisateurs étaient séquentiels, et l’absence de rate limiting permettait de récupérer massivement des données.
Problèmes supplémentaires de sécurité
En plus de cette vulnérabilité IDOR, un second problème a été identifié. L’endpoint permettant de créer un compte <code>POST /user/users/sign-up</code> renvoyait le validation_hash du compte dans la réponse, permettant ainsi de valider un compte sans accès à l’adresse e-mail. Cela ouvrait la porte à la création de comptes en masse avec des adresses e-mails fictives.
Silence et inaction
Le 3 janvier 2026, BobDaHacker a contacté plusieurs membres du personnel de Click to Pray pour signaler la vulnérabilité, mais n’a reçu aucune réponse. Six mois plus tard, le dossier a été transmis à un journaliste, Nate Nelson, qui a également constaté l’absence de réaction. L’article révélant la faille a été publié le 24 juillet 2026, entraînant la modification de l’endpoint concerné.
Le Vatican a établi un règlement de protection des données personnelles en avril 2024, mais cette situation démontre un manquement aux mes de sécurité appropriées.
Source : IT-Connect
