Глаз да глаз нужен за этими агентами 🤡

Цитата ответа от Claude:

До фикса вход через Telegram в админку работал так:

1. Кто угодно с Telegram-аккаунтом заходил на страницу входа в админку и нажимал «Войти через Telegram» 2. Telegram подтверждал только один факт: что это реальный, настоящий Telegram-пользователь (не подделка) 3. Система не проверяла, тот ли это человек, кому положено быть админом — она просто смотрела: «этот Telegram-аккаунт уже привязан к какому-то нашему пользователю?» 4. Если нет — система automatически привязывала этот новый Telegram-аккаунт к единственному существующему в базе админу и выдавала вошедшему полные права администратора

То есть любой человек, впервые зашедший через свой Telegram, автоматически становился админом сайта. Единственное, что проверялось — что это «живой» Telegram-аккаунт, а не то, что это владелец проекта. Уязвимость не разовая — срабатывала для любого нового человека в любой момент, а не только один раз при первой настройке.