@Herytiera Specjalnie nie chcemy mówić szczegółów jak się wykonywało ten błąd, bo nie dostałyśmy odpowiedzi od moderacji

w skrócie:
wchodziło się w swoje wiadomości i widziało się losowe konwersacje innych
nie dało się specyficznie wybrać osoby której wiadomości się widziało,
ale mając wystarczająco cierpliwości, lub jakiś program który by to robił automatycznie, w końcu trafiłoby się na tę osobę

bardziej technicznie:
kiedy wchodzisz w swoje wiadomości, twoja przeglądarka/aplikacja wysyła żądanie do https://samequizy.pl /wp-content/chat.php?action=get_messages&convo_id=[id konwersacji]&convo_hash=[hash konwersacji]&chat_nonce=[numer jednorazowy]

id konwersacji to po prostu numer, bo każda konwersacja jest ponumerowana
i jak się tworzy nową konwersację z kimś to liczba zwiększa się o 1
hash konwersacji to jest "hasło" konwersacji
to suma otrzymana prawdopodobnie za pomocą algorytmu MD5, który jest nieodwracalny, więc nie wiemy jak jest ona generowana
numer jednorazowy to (chyba?) numer tworzony po zalogowaniu się
(lub to jest po prostu numer przypisany do konta, nie jesteśmy pewne)
i wydaje nam się że on jest odpowiedzialny za ochronę przed atakami CSRF
(albo za sprawdzanie czy konto należy do konwersacji, trudno powiedzieć bez dostępu do kodu SQ, ale wątpimy bo normalnie odpowiedzialne za to są ciasteczka)

więc jak się zna id i hash, oraz serwery SQ mają zapisane że nasze konto należy do konwersacji
to można po prostu samemu wysłać te żądanie
i otrzymać wszystkie wiadomości w konwersacji
normalnie to nie jest problem, ponieważ tylko osoby w konwersacji znają hash
oraz tylko ich konta są powiązane z konwersacjami
ale ten błąd pozwalał na "tworzenie" konwersacji które już istniały
co sprawiało że otrzymywało się hash konwersacji, oraz serwery SQ zapisywały sobie że należymy do konwersacji
więc dało się widzieć konwersacje innych

anyway
mamy nadzieję że wytłumaczenie jest satysfakcjonujące
to nie ragebait

ranking wrócił do normalności…