Thought Leadership
Eine Sicherheitsforscherin hat in der offiziellen Gebets-App des Vatikans eine simple, aber folgenschwere Zugriffslücke gefunden.
Die App „Click To Pray“ ist das offizielle digitale Angebot des päpstlichen Gebetsnetzwerks „Pope’s Worldwide Prayer Network“. Papst Franziskus stellte sie 2019 persönlich bei einem Angelus-Gebet auf dem Petersplatz vor. Verfügbar ist die Anwendung für iOS, Android und im Browser unter clicktopray.org, in sieben Sprachen. Nach Angaben der Sicherheitsforscherin, die unter dem Pseudonym BobDaHacker auftritt, zählte die Plattform im Juli 2026 rund 719.000 registrierte Konten.
Fehlende Zugriffskontrolle
Das Problem ist eine sogenannte Insecure Direct Object Reference (IDOR), eine der bekanntesten Fehlerklassen bei Web-APIs. Jedem Nutzerkonto wird bei der Registrierung eine fortlaufende, numerische ID zugewiesen. Über den API-Endpunkt GET /user/users/{id} ließ sich der Datensatz zu jeder beliebigen ID abrufen, unabhängig davon, ob die anfragende Person mit dem jeweiligen Konto überhaupt etwas zu tun hatte. Eine Prüfung, ob der angemeldete Nutzer auch der Besitzer der angefragten ID ist, fand nicht statt.
Die Antwort der Schnittstelle enthielt laut dem Bericht E-Mail-Adresse, Vor- und Nachname, Land, Geburtsdatum sowie Rollen- und Löschstatus des Kontos, also vollständige personenbezogene Daten im Klartext.
Da die IDs fortlaufend vergeben werden und keine Ratenbegrenzung implementiert war, hätte sich theoretisch der komplette Bestand von rund 719.000 Konten automatisiert auslesen lassen, indem man einfach die ID hochzählt und abfragt. Betroffen wäre damit eine Nutzergruppe, die überdurchschnittlich vertrauensselig gegenüber vermeintlich kirchlichen Absendern sein dürfte, ein attraktives Ziel für Phishing-Kampagnen.
Zweite Schwachstelle bei der Registrierung
Zusätzlich fiel auf, dass der Registrierungs-Endpunkt POST /user/users/sign-up den sogenannten validation_hash direkt in der API-Antwort zurückgab. Dieser Hash ist identisch mit dem Token, das normalerweise per Bestätigungs-E-Mail verschickt wird, um eine Kontoerstellung zu verifizieren. Da der Wert bereits in der Antwort des Registrierungs-Aufrufs enthalten war, ließ sich ein Konto mit beliebiger, nicht selbst kontrollierter E-Mail-Adresse verifizieren, ohne je Zugriff auf das jeweilige Postfach zu haben.
Als weiteres Detail berichtet die Forscherin, dass die von der App verschickten Bestätigungs-E-Mails von seinem Mailclient als potenziell gefälscht eingestuft wurden, ein Hinweis auf fehlerhaft konfigurierte SPF-, DKIM- oder DMARC-Einträge. In Kombination mit dem Datenleck hätte das Angreifern eine authentisch wirkende Phishing-Infrastruktur praktisch fertig geliefert.
Monatelang keine Reaktion
Die Forscherin will die Lücke Anfang Januar 2026 entdeckt und am 3. Januar an neun Adressen gemeldet haben, darunter die allgemeine Kontaktadresse von Click To Pray, sechs individuelle Mitarbeiter-Adressen sowie zwei Kontakte beim Pope’s Worldwide Prayer Network. Eine Reaktion sei ausgeblieben.
Erst im Juli 2026, rund sieben Monate später, wandte sich die Forscherin an das Fachmedium Dark Reading. Auch eine anschließende Presseanfrage der Redaktion an das Gebetsnetzwerk blieb nach seinen Angaben unbeantwortet. Ein offizielles Vulnerability-Disclosure-Programm, eine security.txt-Datei oder ein Bug-Bounty-Programm existierten zu keinem Zeitpunkt.
Lücke inzwischen geschlossen
Kurz nach der Berichterstattung von Dark Reading wurde die Schnittstelle nach Beobachtung der Forscherin stillschweigend geändert. Der Endpunkt GET /user/users/{id} liefert inzwischen nur noch Vor- und Nachnamen aus, Informationen, die auf einer Plattform für gemeinsames Gebet ohnehin als öffentlich gelten dürften. E-Mail-Adresse, Land und Geburtsdatum werden nicht mehr ausgegeben. Fragt ein Nutzer seine eigene ID ab, erhält er weiterhin seine vollständigen Daten inklusive E-Mail-Adresse zurück, bei fremden IDs nur noch das öffentliche Profil.
(red)
