> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# В официальном приложении Ватикана для молитв нашли уязвимость, раскрывавшую данные 700 000 пользователей
- URL: https://admin.kod.ru/click-to-pray-leak/
- Published: 2026-07-27T15:57:51.000Z
- Updated: 2026-07-27T16:00:33.000Z
- Description: Ватикан не отвечал на письма исследователя полгода — баг закрыли только после публикации Dark Reading.
- Author: Макс Варламов
- Tags: Новости

Уязвимость в официальном молитвенном приложении Ватикана Click to Pray позволяла получить персональные данные более 700 000 пользователей, [выяснил](https://bobdahacker.com/blog/click-to-pray?ref=admin.kod.ru) исследователь информационной безопасности под псевдонимом BobDaHacker.

Click to Pray — приложение Папского всемирного молитвенного объединения, которое Папа Римский Франциск лично представил в 2019 году на площади Святого Петра. По состоянию на июль 2026 года в нём зарегистрировано более 700 000 аккаунтов.

Проблема крылась в уязвимости типа IDOR: API-эндпоинт `/user/users/{id}` выдавал полные данные любого аккаунта по порядковому номеру без проверки авторизации. Через него можно было получить email, имя, фамилию, страну и дату рождения пользователя — достаточно было перебирать номера ID.

Отдельно исследователь обнаружил, что эндпоинт регистрации возвращал в ответе `validation_hash` — тот же UUID, что использовался в ссылке для подтверждения почты. Это позволяло верифицировать аккаунт, даже не заходя в почтовый ящик. При этом сами письма почтовые клиенты помечали как потенциально поддельные.

BobDaHacker сообщил об уязвимости 3 января 2026 года, отправив письма девяти адресатам — в техподдержку Click to Pray и в Папское молитвенное объединение. Ответа не последовало ни от кого. Спустя полгода исследователь обратился в издание Dark Reading, которое независимо [подтвердило](https://www.darkreading.com/vulnerabilities-threats/vatican-official-prayer-app-leaks-700k-pii?ref=admin.kod.ru) уязвимость, но также не получило ответа от пресс-службы Ватикана.

После публикации материала Dark Reading 24 июля эндпоинт незаметно изменили: теперь по чужому ID доступны только имя и фамилия, а email и дата рождения скрыты. 

Bug bounty или программы раскрытия уязвимостей у сервиса по-прежнему нет, а сам исследователь так и не получил ни одного ответа от разработчиков.