ТомТом

В директории backend/ находится серверная часть приложения на Си.
В директории android-app/ находится клиентская часть приложения на Kotlin.

Стэк технологий

• C
• flatbuffers
• PostgreSQL
• libwebsockets

---

• Kotlin/Andoid
• OkHttp
• Proguard

Уязвимости

• INSERT SQLi в request_contract
• Blind SELECT SQLi в login
• IDOR в edit_me: можно поставить себе флаг admin в true и видеть контракты всех пользователей при вызове list_contracts
• IDOR в check_contract: при запросе можно задать любой ID, принадлежность указанного ID к текущему пользователю не проверяется