Nach Angaben von Dark Reading genügt für die Ausnutzung der Schwachstelle die Eingabe einer einzelnen Domain in die Adresszeile des Browsers. Technische Spezialkenntnisse seien nicht erforderlich. Der verwundbare API-Endpunkt lasse sich mit beliebigen fortlaufenden Benutzerkennungen abfragen, sodass sich Datensätze in großer Zahl durchprobieren und auslesen lassen.
Bei der Registrierung für „Click to Pray“ werden Vorname, Nachname, E-Mail-Adresse und Passwort abgefragt; optional kann auch das Herkunftsland angegeben werden. Im Hintergrund weist das System jedem Konto eine fortlaufende Nutzer-ID zu. Genau diese Konstruktion wird der Lücke zufolge zum Problem: Wer den Endpunkt kennt und eine Nutzer-ID übergibt, kann die zugehörigen Informationen abrufen – einschließlich Konten von Beschäftigten und Administratoren.
Dark Reading berichtet, dass die niedrigsten Benutzerkennungen den Mitarbeitern von „Click to Pray“ zugeordnet sind. Offengelegt werden Namen und E-Mail-Adressen im Klartext. Herkunftsländer erscheinen als numerische Werte. Zudem ist bei jedem Eintrag ersichtlich, ob das Konto gelöscht wurde und ob es über Administratorrechte verfügt. Konten ohne solche Rechte tragen demnach die Rolle „PRAYER“.
Der Bericht nennt als Betreiber des Dienstes das Pope’s Worldwide Prayer Network. Dark Reading versuchte nach eigenen Angaben, die Organisation zu erreichen, um bei der Behebung des Problems zu helfen. Nachdem dies erfolglos geblieben sei, wandte sich die Redaktion an La Machi, das Kommunikationsunternehmen, das die App entworfen und entwickelt hat. Eine Antwort lag demnach zunächst nicht vor.
BobDaHacker ordnet den Fall als typisches Beispiel für fehlerhafte Zugriffskontrollen ein. „IDORs sind unglaublich verbreitet. Fehlerhafte Zugriffskontrolle ist seit 2021 die wichtigste Schwachstellenkategorie in den OWASP Top 10, und IDOR ist wahrscheinlich ihre häufigste Ausprägung“, sagte der Forscher. Der Grund sei, dass viele Frameworks zwar die Authentifizierung übernehmen, nicht aber die Autorisierung. Sie prüften also, ob jemand eingeloggt sei, aber nicht automatisch, ob diese Person eine bestimmte Ressource auch sehen dürfe.
Dark Reading beobachtete zugleich, dass manche Nutzer bei der Registrierung abgekürzte Namen oder alphanumerische Kennungen verwendeten. Außerdem hätten sich viele offenbar mit Apple-Geräten angemeldet und die Funktion „Hide my Email“ genutzt, bei der Dienste nur eine Relay-Adresse statt der echten E-Mail-Adresse erhalten. In diesen Fällen seien E-Mail-Adressen und teils auch Namen trotz des offenen Endpunkts nicht ohne Weiteres zugänglich.
Die Plattform wurde von La Machi Communication for Good Causes entwickelt, einer mittelgroßen spanischsprachigen Kommunikationsagentur. Eigentümer ist das Pope’s Worldwide Prayer Network, das im Text als globale Stiftung des Vatikans beschrieben wird. Dark Reading verweist zudem darauf, dass der Vatikan mit Dekret Nr. DCLVII eine eigene Regelung zum Schutz personenbezogener Daten erlassen hat. Darin ist laut der Übersetzung des Mediums unter anderem von „angemessenen Sicherheitsmaßnahmen zur Erreichung der Ziele des Schutzes personenbezogener Daten“, Risikoanalysen, benannten Personen für die Umsetzung von Sicherheitsmaßnahmen und Verfahren zur Meldung von Problemen an Sicherheitsverantwortliche die Rede.