Die offizielle Click To Pray-Plattform des Vatikans hat eine Sicherheitslücke behoben, die persönliche Informationen von mehr als 719.000 registrierten Nutzern offenlegte, nachdem das Problem Berichten zufolge mehr als sechs Monate ungelöst geblieben war. Der Fehler wurde von einem independent security researcher entdeckt, der sagte, dass wiederholte Offenlegungsversuche keine Antwort erhielten, bevor die Schwachstelle schließlich behoben wurde.
Click To Pray ist über seine Website und mobile Anwendungen für Android und iOS verfügbar. Der Service bietet täglich geführte Gebete an und ermöglicht es Nutzern weltweit, an Gebetsinitiativen teilzunehmen, die vom Worldwide Prayer Network des Papstes gefördert werden.
Die Sicherheitsforscherin BobDaHacker sagte, sie habe die Schwachstelle erstmals am 3. Januar 2026 identifiziert. Laut ihrer Offenlegung informierte sie mehrere Kontakte, die mit Click To Pray und dem Weltweiten Gebetsnetzwerk des Papstes verbunden sind, darunter allgemeine Unterstützungsadressen und einzelne Mitarbeiter, erhielt jedoch keine Bestätigung oder Antwort.
Zum Zeitpunkt der Tests im Juli verfügte die Plattform über 719.517 registrierte Benutzerkonten. Der Forscher sagte, das Problem blieb während dieses Zeitraums nicht behoben.
Die Schwachstelle war eine Insecure Direct Object Reference (IDOR), eine Art Zugriffskontrollfehler, der auftritt, wenn eine Anwendung interne Objektkennungen offenlegt, ohne ordnungsgemäß zu prüfen, ob ein Benutzer berechtigt ist, auf die angeforderten Informationen zuzugreifen.
Laut der Offenlegung wurde jedem Konto eine fortlaufende numerische Kennung zugewiesen. Durch das Ersetzen seiner eigenen Konto-ID durch eine andere gültige Nummer in einer Application Programming Interface (API)-Anfrage konnte ein authentifizierter Benutzer die Kontoinformationen einer anderen Person abrufen, weil das System es versäumte, den Besitz vor der Rückgabe der Daten zu überprüfen.
Die offengelegten Informationen umfassten Berichten zufolge E-Mail-Adressen, Vor- und Nachnamen, Länder, Geburtsdaten, Kontorollen und Hinweise, ob ein Konto gelöscht wurde. Der Forscher sagte, dass das vorhersehbare Nummerierungssystem in Kombination mit dem Fehlen einer Ratenbegrenzung bedeutete, dass ein Angreifer systematisch jedes registrierte Konto abfragen konnte.
Obwohl es keine Hinweise darauf gibt, dass die Schwachstelle böswillig ausgenutzt wurde, warnte der Forscher, dass offengelegte E-Mail-Adressen und persönliche Daten hätten genutzt werden können, um überzeugende Phishing- oder Social-Engineering-Angriffe gegen Mitglieder der Plattform zu gestalten.
Während der Bewertung identifizierte BobDaHacker außerdem eine Schwachstelle im E-Mail-Verifizierungsprozess der Anwendung. Laut der Offenlegung hat die API denselben Verifizierungstoken zurückgegeben, den das System später per E-Mail gesendet hat, sodass Nutzer Konten aktivieren können, ohne tatsächlich auf das registrierte Postfach zugreifen zu müssen.
Der Forscher meldete außerdem Probleme mit der E-Mail-Authentifizierungskonfiguration der Plattform. Sie sagte, dass SPF-, DKIM- und DMARC-Schutzmaßnahmen offenbar falsch konfiguriert seien, was es erschwere, legitime Nachrichten von betrügerischen E-Mails zu unterscheiden. Diese Standards sollen den empfangenden Mailservern helfen, zu überprüfen, ob E-Mails von autorisierten Absendern stammen und während der Zustellung nicht verändert wurden.
Das Worldwide Prayer Network des Papstes reagierte laut veröffentlichter Zeitleiste weder auf die Offenlegungsversuche des Forschers noch auf anschließende Anfragen nach einer Stellungnahme, bevor das Thema öffentlich wurde.
Die Situation änderte sich, nachdem Dark Reading über die Schwachstelle berichtet hatte. BobDaHacker bestätigte später, dass die Anwendung aktualisiert wurde und der Zugangskontrollfehler behoben wurde.
Nach der Behebung liefern Anfragen für das Profil eines anderen Benutzers nur Informationen, die öffentlich sichtbar sein sollen, wie Vor- und Nachnamen. Sensible Kontodaten, einschließlich E-Mail-Adressen, Geburtsdaten und Länderinformationen, werden nicht mehr über den betroffenen API-Endpunkt bereitgestellt.
Obwohl sie sagte, sie habe nie eine direkte Anerkennung von der Organisation erhalten, begrüßte die Forscherin die Sanierung. Sie erklärte, dass das Hauptziel der verantwortungsvollen Offenlegung darin bestand, die Schwachstelle zu beheben, und fügte hinzu, dass das Problem letztlich korrekt gelöst worden sei.