在纽约市寻找住房很难。但找到某人社会保障号码的最后四位数字比找到一套公寓更容易。一位申请Beam Living（Blackstone旗下投资组合公司）租约的研究人员在监控网络流量时注意到了可疑活动。

在提交个人详细信息时，用户检查了发送到pd-dlcore.beamliving.com/graphql的GraphQL查询。该查询结构允许通过仅提供联系人ID或电子邮件来获取广泛的联系信息，包括收入证明、信用评分、地址、出生日期和社会保障数据。

测试显示，输入朋友的电子邮件会暴露其敏感的申请数据。此漏洞影响了多个社区，包括8 Spruce、Stuy Town、Peter Cooper Village、Kips Bay Court和Parker Towers。任何记录仍保留在共享门户中的申请人，只要有人知道他们的电子邮件地址，就可以访问他们的私人信息。

研究人员向Beam Living披露了这一缺陷。尽管最初遭到否认，但在进一步施压后，该问题被悄然修补。这一事件凸显了现代租赁门户中重大的安全风险，以及通过不当API授权检查导致广泛数据暴露的可能性。

关键实体：公司：Blackstone, Beam Living | 地点：NYC, 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court, Parker Towers

常见问题：哪些数据被暴露？

社会保障号码（最后四位数字）、出生日期、家庭住址、IP地址、电话号码和其他申请数据。

常见问题 Q：哪些数据被暴露？

常见问题 A：社会保障号码（最后四位数字）、出生日期、家庭住址、IP地址、电话号码和其他申请数据。