Présentation

Meta a lancé Muse, un chatbot conversationnel disponible depuis 2023. L’article de WIRED décrit une faille de conception qui permet à quiconque de récupérer le contenu complet d’une discussion en suivant simplement un lien de partage généré par l’application.

Mécanisme du lien de partage

Lorsque l’utilisateur clique sur « Partager », Muse crée une URL du type 

https://www.muse.com/share?c=1234567890abcdef
. Le paramètre c correspond à un identifiant de conversation stocké côté serveur. L’URL ne comporte aucune clé d’authentification ni jeton d’expiration ; le serveur accepte la requête tant que l’identifiant est valide.

Analyse de la faille

Le problème réside dans l’absence de vérification d’identité. Le serveur ne compare pas l’identifiant de conversation avec l’utilisateur qui a initié la requête, ce qui signifie que toute personne disposant du lien peut accéder à la conversation complète, y compris les messages privés, les images et les métadonnées. Le design repose sur l’hypothèse que l’URL restera confidentielle, mais la diffusion accidentelle (copie dans le presse‑papier, historique du navigateur, partage involontaire) rend cette hypothèse fragile. En outre, le format prévisible de l’identifiant (une chaîne hexadécimale de 16 caractères) facilite les attaques par force brute : un script automatisé peut tester des millions de combinaisons en quelques heures, augmentant le risque d’exposition massive.

Recommandations et limites

Pour corriger la vulnérabilité, Meta doit implémenter une validation d’accès basée sur le compte utilisateur et ajouter un jeton d’expiration limité (par exemple, 24 h). Le serveur devrait également vérifier le référent HTTP ou exiger une authentification OAuth avant de délivrer le contenu. En l’état, la faille ne permet pas d’exécuter du code à distance, mais elle constitue une fuite de données personnelles, ce qui peut entraîner des atteintes à la vie privée et des pressions réglementaires. L’article ne précise pas si Meta a déjà publié un correctif ou si la faille a été exploitée à grande échelle, ce qui limite l’évaluation de l’impact réel.