Как выяснили пользователи, при загрузке изображения в личный чат или «Избранное» для него создается статичная гиперссылка. Если знать эту ссылку из веб-версии Max, фото можно открыть даже без авторизации. Более того, если изображение из переписки удалить, оно все равно будет доступно по гиперссылке.
ЧТД успешно повторил эксперимент: ссылка на фото из личной переписки в Max открылась в браузере даже без авторизации в мессенджере. Ссылка продолжала работать и после удаления фотографии из переписки.
«При [отправке фото генерируется] длинная ссылка, но БОЛЬШАЯ ее часть будет одинаковой для всех ваших файлов, и защиты от перебора вроде бы не предусмотрено», — отмечают пользователи «Пикабу», обратившие внимание на дыру.