La plateforme officielle du Vatican, Click To Priy, a corrigé une vulnérabilité de sécurité qui exposait des informations personnelles appartenant à plus de 719 000 utilisateurs enregistrés, après que le problème serait resté non résolu pendant plus de six mois. La faille a été découverte par un independent security researcher , qui a déclaré que les tentatives répétées de divulgation n’avaient reçu aucune réponse avant que la vulnérabilité ne soit finalement corrigée.
Click To Pray est disponible via son site web et ses applications mobiles pour Android et iOS. Le service propose des prières guidées quotidiennes et permet aux utilisateurs du monde entier de participer aux initiatives de prière promues par le Réseau Mondial de Prière du Pape.
La chercheuse en sécurité BobDaHacker a déclaré avoir identifié la vulnérabilité pour la première fois le 3 janvier 2026. Selon sa déclaration, elle a informé plusieurs contacts associés à Click To Pray et au Réseau de Prière Mondiale du Pape, y compris des adresses générales de soutien et des membres du personnel individuels, mais n’a reçu ni accusé de réception ni de réponse.
Au moment des tests en juillet, la plateforme comptait 719 517 comptes utilisateurs enregistrés. Le chercheur a indiqué que le problème n’était pas résolu pendant toute cette période.
La vulnérabilité était une référence directe d’objet insécurisée (IDOR), un type de faille de contrôle d’accès qui survient lorsqu’une application expose des identifiants d’objets internes sans vérifier correctement si un utilisateur est autorisé à accéder aux informations demandées.
Selon la divulgation, chaque compte s’est vu attribuer un identifiant numérique séquentiel. En remplaçant son propre identifiant de compte par un autre numéro valide dans une requête d’interface de programmation d’applications (API), un utilisateur authentifié pouvait récupérer les informations de compte d’une autre personne parce que le système n’avait pas vérifié la propriété avant de retourner les données.
Les informations exposées incluaient apparemment les adresses e-mail, prénoms et noms de famille des utilisateurs, pays, dates de naissance, rôles de compte et indicateurs indiquant si un compte avait été supprimé. Le chercheur a expliqué que le système de numérotation prévisible, combiné à l’absence de limitation de débit, signifiait qu’un attaquant pouvait interroger systématiquement chaque compte enregistré.
Bien qu’il n’existe aucune preuve que la vulnérabilité ait été exploitée de manière malveillante, le chercheur a averti que des adresses e-mail et des informations personnelles exposées auraient pu être utilisées pour élaborer des attaques convaincantes de phishing ou d’ingénierie sociale ciblant les membres de la plateforme.
Lors de l’évaluation, BobDaHacker a également identifié une faiblesse dans le processus de vérification par email de l’application. Selon la divulgation, l’API a renvoyé le même jeton de vérification que le système a ensuite envoyé par email, permettant aux utilisateurs d’activer des comptes sans accéder réellement à la boîte aux lettres enregistrée.
Le chercheur a également signalé des problèmes avec la configuration de l’authentification des e-mails de la plateforme. Elle a déclaré que les protections SPF, DKIM et DMARC semblaient mal configurées, rendant les messages légitimes difficiles à distinguer des courriels frauduleux. Ces normes sont conçues pour aider les serveurs de messagerie recevants à vérifier que les emails proviennent d’expéditeurs autorisés et n’ont pas été modifiés lors de la livraison.
Le Réseau mondial de prière du Pape n’a pas répondu aux tentatives de divulgation du chercheur ni aux demandes ultérieures de commentaire avant que la question ne devienne publique, selon la chronologie publiée.
La situation a changé après que Dark Reading a rapporté cette vulnérabilité. BobDaHacker a ensuite confirmé que l’application avait été mise à jour et que la faille de contrôle d’accès avait été corrigée.
Après la correction, les demandes concernant le profil d’un autre utilisateur ne renvoient que des informations destinées à être visibles publiquement, telles que les prénoms et noms de famille. Les détails sensibles des comptes, y compris les adresses e-mail, les dates de naissance et les informations sur les pays, ne sont plus exposés via le point de terminaison de l’API concerné.
Bien qu’elle ait déclaré ne jamais avoir reçu de reconnaissance directe de la part de l’organisation, la chercheuse a salué la réhabilitation. Elle a déclaré que l’objectif principal de la divulgation responsable était de s’assurer que la vulnérabilité était corrigée, ajoutant que le problème avait finalement été correctement résolu.