روابط مشاركة محادثات Muse من Meta كشفت عناوين أكثر من 6,800 محادثة عبر سجلات DNS
نشرت شركة Claroc في 18 أكتوبر 2026 بحثًا، حدّثته في 20 أكتوبر، يُظهر أن أكثر من 6,800 محادثة شاركها مستخدمون من مساعد Meta الجديد Muse صارت عناوينها قابلة للبحث، دون أن يرسل أحد للباحثين رابطًا واحدًا. ولم يكن ذلك اختراقًا لأي نظام.
حين يطلب المستخدم مشاركة محادثة، ينشئ Muse صفحة على عنوان من نوع home-sale-budget-9f21c8a3.cf.metaaiusercontent.com. أي أن عنوان المحادثة يوضع داخل اسم النطاق نفسه، إلى جانب رقم عشوائي يُفترض أن يجعل الرابط غير قابل للتخمين.
والمشكلة في موضع هذا الاسم. فأول ما يفتح أحدهم الرابط، يسأل متصفحه خوادم الـ DNS عن اسم المضيف كاملًا. وخدمات passive DNS، وهي خدمات تسجّل أسماء النطاقات التي يُستعلم عنها وتتيح البحث فيها، تحفظ هذا الاسم بما فيه الرقم العشوائي. لذلك يُنشر السر نفسه منذ الفتحة الأولى.
وبحسب البحث، أعاد استعلام واحد على هذا النطاق أكثر من 6,800 اسم، مرتّبة بعناوينها كأنها فهرس. وفتح الباحثون بضع مئات منها فقط، ووجدوا فيها ميزانية بيع منزل، وطلب قرض لشركة صغيرة، ومراجعة إيرادات موجهة للمدير التنفيذي. وكان Muse قد أُطلق في 8 سبتمبر 2026.
ولو وُضع العنوان في مسار الرابط، أي بعد الشرطة المائلة، لما حدث شيء من ذلك، لأن الـ DNS يرى اسم المضيف ولا يرى المسار.
وبحسب Ars Technica، أوقفت Meta ميزة المشاركة في 20 أكتوبر بعد أن سألها الموقع عن الأمر، رغم أن الثغرة أُبلغت عبر برنامج مكافآت الثغرات في 8 أكتوبر دون رد. لكن الأسماء التي سُجّلت بقيت في تاريخ الـ DNS.
وبالنسبة لأي فريق يبني منتجًا فيه زر مشاركة، يصبح موضع السر في الرابط قرار أمان لا قرار شكل: في المسار يبقى بين المتصفح والخادم، وفي اسم المضيف يصل إلى كل من يسجّل استعلامات الـ DNS.