Кстати об уязвимостях. Держите большой список багов и уязвимостей на стороне серверов скретча. Если хотите о каком-то пункте узнать подробнее, то напишите в комментариях.
Эти баги недоступны через интерфейс сайта. Они доступны только через код.
Приватные проекты:
Актуальные:
1. Ремиксинг
Через ремиксы можно смотреть инструкции и названия приватных проектов, если они не подвергаются цензуре современных фильтров. Однако этот способ требует наличие аккаунта, а каждый запрос создаёт новый проект, частое использование чего может привести к блокировке аккаунта.
2. Публичные ремиксы
Через API можно узнать список публичных ремиксов любого приватного проекта.
3. Обложки проектов
Можно посмотреть обложку любого проекта через API.
Неактуальные:
1. Дерево ремиксов
API дерева ремиксов давало такую информацию о приватных проектах, как название, статистику, автора и статус модерации. Ныне не работает из-за удаления дерева ремиксов.
2. projects.scratch.mit.edu
До ноября 2022 года можно было смотреть приватные проекты. Было исправлено добавлением обязательного токена, который есть только у создателя.
3. scratch-projects.scratch.org
До апреля 2026 года можно было смотреть приватные проекты. Было исправлено удалением этого метода.
Студии:
1. Функционал удалённых студий
Посмотреть список проектов, кураторов и действия нельзя, но можно добавлять/удалять проекты и добавлять/удалять кураторов/менеджеров. Создатель может посмотреть комментарии удалённой студии.
2. Обложка студии
Через API можно посмотреть обложку любой студии.
3. Удаление проектов со стороны куратора
Любой куратор студии может удалить все проекты в ней через API, потому что ограничение есть только на стороне клиента.
4. Создатель может передать владельца студии себе
Профили:
1. Можно посмотреть любой удалённый профиль почти целиком. Единственное, что нельзя посмотреть, - это:
- Статус (скретчер/новый скретчер)
- Комментарии
- К какому классу прикреплён ученик (но узнать, является ли аккаунт учеником, можно)
- Классы, если аккаунт учительский
2. Можно подписаться на самого себя, но это многим известно
Комментарии:
Можно отвечать на удалённые комментарии в профилях, студиях и проектах. В студиях и проектах можно посмотреть ответы на удалённые комментарии, имея ID.
Классы:
1. Можно у любого ученика узнать, заблокирован ли он, и сброшен ли у него пароль.
2. У любого класса можно узнать активность, которую должен видеть только учитель. У класса есть разные списки активности. Один (публичный) находится на странице класса, а другой ("приватный") должен видеть только учитель, но его может увидеть любой.
Аккаунты:
1. У любого аккаунта есть токен, который невозможно изменить. Если он утечёт, то придётся смириться с тем, что через него можно смотреть приватные проекты и делиться ими, смотреть сообщения, добавлять/удалять проекты в студиях, а также изменять название и описание проектов.
Прочие уязвимости:
1. Пароли от множества ученических аккаунтов в скретче в публичном доступе! Когда учитель создаёт вручную аккаунт ученика, его пароль по умолчанию задаётся в имя учителя, по ID класса через API можно узнать имя учителя и учеников, а что самое главное - узнать, у каких именно пароль не задан. Именно поэтому большинство аккаунтов, участвующие в рассылках - ученические.
2. Если аккаунт заблокирован, то можно через него всё ещё можно смотреть свои приватные проекты (нужны ID проектов), взаимодействовать с рюкзаком, видеть предупреждения. Кроме того, через него можно использовать облачные переменные, чем пользовался veryrealteacher. Сейчас неизвестно, починили это или нет.
3. Новые скретчеры могут тоже использовать облачные переменные. В последнее время облачные переменные работают нестабильно, поэтому неизвестно, исправили ли это сейчас или нет.
Знаете другие баги и уязвимости? Напишите в комментариях!
