ثغرة بسيطة عند شركة اورونج

بعد سلسلة تجارب فالتطبيق ديالهم وقفت على بزاف ديال الثغرات، لكن هادي هي الأكثر غباء.
فاش كتبغي تدخل للكونط ديالك، التطبيق كيطلبك فاللول رقمك، كيصيفط للAPI يشوف واش كاين، و عوض ما يجاوب غير ب0 او 1 كيجاوب بالإسم الكامل ديال صاحب الخط.
هادا سكرين من request
الAuthorization اذا ديكوديناها بالbase64 كتعطينا :
mobile_user:Orange_2018
درت سكريبت بسيط كيستغل هاد الثغرة :
http://xploit.run/orange