A plataforma oficial do Vaticano, Click To Prayer, corrigiu uma vulnerabilidade de segurança que expôs informações pessoais pertencentes a mais de 719.000 usuários registrados, após a questão ter permanecido sem solução por mais de seis meses. A falha foi descoberta por um independent security researcher , que disse que tentativas repetidas de divulgação não receberam resposta antes que a vulnerabilidade fosse finalmente corrigida.
Click To Pray está disponível em seu site e aplicativos móveis para Android e iOS. O serviço oferece orações guiadas diárias e permite que usuários ao redor do mundo participem de iniciativas de oração promovidas pela Rede Mundial de Oração do Papa.
A pesquisadora de segurança BobDaHacker disse que identificou a vulnerabilidade pela primeira vez em 3 de janeiro de 2026. De acordo com sua revelação, ela notificou múltiplos contatos associados ao Click To Pray e à Rede Mundial de Oração do Papa, incluindo endereços gerais de apoio e membros individuais da equipe, mas não recebeu reconhecimento ou resposta.
No momento dos testes em julho, a plataforma continha 719.517 contas de usuários registradas. O pesquisador disse que o problema permaneceu sem revisão durante todo esse período.
A vulnerabilidade era uma Insecure Direct Object Reference (IDOR), um tipo de falha de controle de acesso que ocorre quando um aplicativo expõe identificadores internos de objetos sem verificar adequadamente se um usuário está autorizado a acessar as informações solicitadas.
De acordo com a divulgação, cada conta recebeu um identificador numérico sequencial. Ao substituir seu próprio ID de conta por outro número válido em uma solicitação de interface de programação de aplicativos (API), um usuário autenticado podia recuperar as informações da conta de outra pessoa porque o sistema não verificou a propriedade antes de devolver os dados.
As informações expostas supostamente incluíam endereços de e-mail dos usuários, nomes e sobrenomes, países, datas de nascimento, cargos de conta e indicadores que indicavam se uma conta havia sido excluída. O pesquisador disse que o sistema de numeração previsível, combinado com a ausência de limitação de taxa, significava que um atacante poderia ter consultado sistematicamente todas as contas registradas.
Embora não haja evidências de que a vulnerabilidade tenha sido explorada de forma maliciosa, o pesquisador alertou que endereços de e-mail expostos e dados pessoais poderiam ter sido usados para criar ataques convincentes de phishing ou engenharia social direcionados a membros da plataforma.
Durante a avaliação, o BobDaHacker também identificou uma fraqueza no processo de verificação de e-mails do aplicativo. De acordo com a divulgação, a API retornou o mesmo token de verificação que o sistema posteriormente enviou por e-mail, permitindo que usuários ativem contas sem realmente acessar a caixa de correio registrada.
O pesquisador também relatou problemas na configuração de autenticação de e-mail da plataforma. Ela afirmou que as proteções SPF, DKIM e DMARC parecem estar configuradas de forma inadequada, tornando difíceis a distinção de mensagens legítimas de e-mails fraudulentos. Esses padrões são projetados para ajudar os servidores de e-mail que recebem a verificação de que os e-mails se originam de remetentes autorizados e não foram alterados durante a entrega.
A Rede Mundial de Oração do Papa não respondeu às tentativas de divulgação do pesquisador nem aos pedidos subsequentes de comentário antes que a questão se tornasse pública, segundo a linha do tempo publicada.
A situação mudou depois que a Dark Reading relatou a vulnerabilidade. BobDaHacker confirmou posteriormente que o aplicativo havia sido atualizado e que a falha no controle de acesso havia sido corrigida.
Após a correção, solicitações para o perfil de outro usuário retornam apenas informações destinadas a serem publicamente visíveis, como nomes e sobrenomes. Detalhes sensíveis da conta, incluindo endereços de e-mail, datas de nascimento e informações de países, não são mais expostos pelo endpoint da API afetado.
Embora tenha dito que nunca recebeu um reconhecimento direto da organização, a pesquisadora acolheu positivamente a remediação. Ela afirmou que o objetivo principal da divulgação responsável era garantir que a vulnerabilidade fosse corrigida, acrescentando que o problema havia sido resolvido corretamente.