摘要： 本文介绍了作者在参加Formula 1大奖赛相关活动时，尝试黑入支持网站并发现安全漏洞的过程。作者发现了一个简单的HTTP PUT请求可以更新用户资料，并通过该请求获取了包含敏感信息的JSON响应。进一步分析发现，通过JavaScript逻辑可以修改用户角色为管理员，从而获得了对FIA驾驶员分类网站的完全访问权限。作者能够查看所有驾驶员的个人信息、护照、简历等敏感数据，以及FIA内部关于驾驶员分类的通信。作者在发现可以访问Max Verstappen的敏感信息后停止了测试，并通过电子邮件和LinkedIn向FIA进行了报告。FIA随后采取了措施修复了漏洞，并在10月22日发布了官方响应和博客文章进行公开披露。
讨论： 该内容主要围绕网络安全和漏洞讨论。其中包括对某网站安全漏洞的批评，指出文档在完成其目的后仍留在服务器上是不必要的，可能导致安全风险。同时，讨论了匿名数据的使用和隐私保护的重要性。还有关于网站下线、黑客攻击、法律威胁以及漏洞赏金计划等话题的讨论。
原文标题：Accessing Max Verstappen’s passport and PII through FIA bugs
原文链接：https://ian.sh/fia
讨论链接：https://news.ycombinator.com/item?id=45673130