O mecanismo “Polaris”
O pesquisador Jatin Banga descreveu um comportamento no qual uma requisição GET não autenticada a instagram.com/<usuario_privado> com cabeçalhos específicos de user‑agent mobile retornava um objeto JSON chamado polaris_timeline_connection. Para contas afetadas, esse objeto continha um array edges com links diretos de CDN para mídias privadas e suas legendas — conteúdo que deveria permanecer inacessível a não seguidores.
Escopo de teste e condições
Em testes relatados pelo pesquisador, cerca de 28% das contas autorizadas utilizadas para verificação apresentaram a exposição, sugerindo que o bug era condicional e dependia de um estado específico do backend ou de sessões “corrompidas”. O comportamento não afetava todas as contas de forma uniforme.
Linha do tempo e interação com o programa de segurança
- 12/10/2025 — Banga submeteu o relatório ao programa de bug bounty da Meta, incluindo PoC e vídeo.
- 14/10/2025 — Forneceu uma conta de terceiros para reprodução consentida (its_prathambanga).
- 16/10/2025 — O exploit deixou de funcionar nas contas previamente vulneráveis, indicando remediação servidor‑side.
- 27/10/2025 — Meta fechou o relatório como "Not Applicable", alegando incapacidade de reproduzir o problema.
Divulgação pública e críticas
Banga publicou análise técnica completa, logs de rede e um script PoC no GitHub para revisão de pares. Ele e outros pesquisadores criticaram a ausência de uma explicação de causa raiz por parte da Meta — a equipe de segurança afirmou que a correção pode ter sido um "efeito colateral" de outras mudanças de infraestrutura.
Implicações e limites do relato
Se confirmada, a vulnerabilidade representa um risco direto à confidencialidade de contas privadas, potencialmente expondo material sensível sem autenticação. As fontes citadas apresentam evidência técnica (PoC e vídeo) e relatam uma correção silenciosa, mas não há, nas divulgações públicas, um comunicado detalhado da Meta descrevendo o vetor exato, a raiz do problema ou métricas sobre contas efetivamente afetadas em produção.
Recomendações para responsáveis por segurança
- Auditar acessos CDN e validações de autorização server‑side que devolvem blobs JSON embutidos em HTML.
- Reforçar testes de regressão para headers mobile e variações de user‑agent como vetores de bypass.
- Exigir comunicação mais detalhada de fornecedores quanto à causa raiz quando uma correção impacta a confidencialidade de usuários, especialmente em casos que envolvem privacidade pessoal.
Fontes
Divulgação técnica e PoC por Jatin Banga (publicada no Medium e GitHub) e cobertura no Cyber Security News (autor: Guru Baran).