Araştırmacılar, Kasım'da web sitelerinin Facebook'tan kullanıcı profili verilerini almalarına izin veren bir Facebook açığı keşfetmişlerdi. Aynı takım şimdi Facebook Messenger'da kimlerle konuştuğunuzu ortaya çıkaran, şu an itibariyle onarılmış olan bir açığı açıkladı.
Imperva güvenlik araştırmacısı Ron Masas, bir CSFL saldırısıyla iFrame öğelerinin özelliklerini kullanarak, uygulama durumunu belirlemenin mümkün olduğunu blog'unda anlatıyor. Bu süreci farklı Messenger kişileri üzerinde gerçekleştirdiğinizde ortaya iki sonuçtan biri çıkıyor: boş veya dolu. Bu iki durum, kullanıcının bu kişiyle hiç konuşup konuşmadığını gösteriyor. Açığın tüm yapabildiği bu kadar. Sohbet geçmişinden veri almak mümkün olmuyor.
Masas, açık hakkında Facebook'u bilgilendirdikten sonra Facebook, Messenger arayüzündeki tüm iframe'leri kaldırma kararı aldı. Bunda önceki açığın da iframe'lerle ilgili olmasının payı olabilir.