先週末に Zero-day in Sign in with Apple とかいう記事が出ていました。 この記事ではいまいち詳細がわからないんで、ちょっと実際 Apple IdP の挙動調べてみたら、当該 Endpoint 発見しました。 実際にどこが脆弱だったのか 非 Safari ブラウザで、適当な RP にアクセス e.g.,) http://signin-with-apple.herokuapp.com/ (Nov SIWA RP) Safari だと OS の Native UI が出てきてブラウザ遷移しないので注意 既に連携済の RP の場合は一度連携解除しておくこと Sign in with Apple のボタンをクリックして Apple AuthZ Endpoint に遷移 AuthZ EP: https://appleid.apple.com/auth/authorize