Bug Tracker

Hello OmegaConnect Security Team, I am writing to respectfully report a security configuration gap regarding the DNS posture of your domain, `omegaconnect.app`. During my security evaluation, I observed that the domain does not currently implement a Certificate Authority Authorization (CAA) record. A CAA record (defined in RFC 6844) is a critical DNS security mechanism that allows domain owners to explicitly specify which Certificate Authorities (CAs) are authorized to issue SSL/TLS certificates for their domain. When a CA receives a request to issue a certificate, they are mandated by the CA/Browser Forum to check for a CAA record. If a CAA record is present, only the explicitly listed CAs are permitted to proceed with issuance. Because `omegaconnect.app` lacks a CAA configuration, any Certificate Authority in the world is technically permitted to issue a certificate for your domain. This issue is particularly sensitive for your infrastructure because the `.app` Top-Level Domain (TLD) is hardcoded into the HTTP Strict Transport Security (HSTS) preload list. This means modern browsers absolutely require a valid SSL/TLS connection to access the site. Since HTTPS is mandatory, ensuring that only trusted entities can generate valid certificates is your primary defense against advanced interception attacks. CVSS v3.1 Score and Vector * CVSS v3.1 Score: 6.5 (Medium) * CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N Steps to Reproduce 1. **[Terminal/Command Prompt]:** Open a standard terminal or command prompt environment. 2. **[DNS Query execution]:** Execute the following `dig` command to query the domain's CAA records: `dig CAA omegaconnect.app +short` 3. **[Alternative Method]:** Alternatively, utilize an online DNS lookup tool (such as Google's Admin Toolbox Dig) and query for the CAA records of `omegaconnect.app`. 4. **[Observation]:** Observe the output. The query will return empty, confirming that no CAA policy is published for the domain in the DNS zone. Impact While a missing CAA record requires a secondary failure to be directly exploited, it represents a missing layer of defense-in-depth against Man-in-the-Middle (MitM) attacks. If a threat actor successfully socially engineers a weak CA, exploits a domain validation flaw, or compromises a lesser-known CA, they can obtain a rogue SSL/TLS certificate for `omegaconnect.app`. Because `.app` domains strictly enforce HTTPS, this rogue certificate would allow the attacker to seamlessly intercept, decrypt, and alter traffic between your users and your application. Since the certificate would be technically "valid" from a cryptographic standpoint, the victim's browser would not display any security warnings, leading to a silent compromise of sensitive session tokens and user data. Recommended Remediation To protect the domain against rogue certificate issuance and ensure cryptographic integrity, I highly recommend implementing a CAA record. * Audit Authorized CAs: Identify which Certificate Authorities your organization currently utilizes to generate SSL/TLS certificates for `omegaconnect.app` and its subdomains (e.g., Let's Encrypt, DigiCert, Amazon). * Publish the CAA Record: Create a DNS CAA record at the apex of your domain specifying the authorized CAs. For example, to authorize only Let's Encrypt: `omegaconnect.app. IN CAA 0 issue "letsencrypt.org"` * Prevent Wildcard Issuance: If your organization does not utilize wildcard certificates, explicitly forbid them using the `issuewild` tag to further lock down issuance: `omegaconnect.app. IN CAA 0 issuewild ";"` * Enable Incident Reporting (Optional): Utilize the `iodef` tag to receive incident reports if a CA rejects a certificate request due to CAA policy violations (e.g., `omegaconnect.app. IN CAA 0 iodef "mailto:security@omegaconnect.app"`). Thank you for your time, review, and continuous dedication to securing the OmegaConnect infrastructure. I am happy to provide any further clarification if needed. Best regards, Yash Ahmed Quashim Security Researcher

3 findings on omegaconnect.app (scope §5). Full report + PoC + evidence: attached PDF. [1] File upload — no extension validation (broken allowlist). Medium (Critical if reachable). POST /api/submit-report.php (multipart, unauthenticated) accepts ANY extension, success:true: .php .phtml .php5 .pht .inc .shtml .exe .sh .htaccess — all accepted. Expected per README.md: PNG/JPG/PDF/MP4 only. No extension/MIME/magic-byte check exists. Last barrier: Apache deny rule on /uploads/reports/ blocks only the PHP family (.php .phtml .php5 .php7 .phps .phar) and MISSES .pht — which PHP does execute on many builds. Fix: strict extension allowlist; validate content via finfo_file(); store outside webroot; add .pht .phar .inc .shtml .cgi .pl .py to the deny rule. [2] Rate limit per-IP only (bypassed). Low/Medium. 5/hour defeated by rotating egress (WARP + open SOCKS5). OCN-0171, OCN-0176–0187 accepted past the limit. XFF/X-Real-IP spoofing is correctly rejected (good). Same on /admin.php: lockout after ~10 tries is PER-IP not PER-ACCOUNT → unlimited attempts on ONE admin account by rotating IPs. No CAPTCHA/MFA. Fix: key limiter on session + account; backoff + CAPTCHA; account-level lockout; enable MFA. [3] Internal deployment guide exposed at web root. Low/Medium. GET /README.md → 200, 3778 bytes: full internal file tree, exact paths, server/DB versions, admin mail flow, and the list of security controls (i.e. what is NOT protected). composer.lock also public, pinning phpmailer v7.0.2. Fix: remove README.md/composer.* from webroot; extend .htaccess deny to *.md *.json *.lock *.sql. VERIFIED NOT VULNERABLE: SQLi (submit-report.php, admin.php) — parameterised; auth bypass via login=1; param tampering; config.php.bak/.old/.swp; /includes/* /database/* → 403; TRACE/PUT → 405; PHPSESSID rotates; cookies Secure/HttpOnly/SameSite=Strict. LIMITATIONS: no read-back of the uploaded file (all 403/404; the 403 is an extension deny that also fires for non-existent files) → reachability unproven, so [1] stays Medium; if files land in a served directory it becomes Critical RCE. No admin credentials obtained. No data exfiltration. CONTACT: Lazyleon | airdropholic@gmail.com | Telegram @lazyleonverse1 Per §13: confidential (min. 90 days).

Steps to reproduce: 1. POST https://server.omegawallet.shop/api/v1/auth/web/login Body: {"email":{"$exists":true},"password":{"$ne":"invalid"}} → HTTP 200 "otp-login-required" (matches ALL verified users) 2. Control: {"email":{"$regex":"^zzqxnoexist99"},...} → HTTP 500. The 200-vs-500 differential = pre-auth oracle (re-verified 2026-09-05). 3. Extract any user email char-by-char via {"email":{"$regex":"^ab"},...} → 200 per matching prefix. Live extraction performed: real customer email prefix (ababkina...) recovered across rate-limit windows. Every match sends a real OTP email to the victim (email bombing primitive). 4. Register oracle: {"email":{"$exists":true},...} → 409 "account exists". Impact: pre-auth customer PII enumeration at scale — 100 proxy IPs (~$50/mo) = ~100 users/hour = full customer email list in days. Full details: 11 negative escalation tests, OMDP39 audit, re-verification and recommended fixes in attached PDF (omega_report_nosql.pdf). CWE-943 / OWASP A03:2021.

Beim Senden von Dateien steht "Dokument", "Video", "Galerie", "Kamera" möglich. Allerdings gibt es bei mir (Iphone Nutzer) nur die Möglichkeit "Kamera" auszuwählen. Die Möglichkeiten Dokumente, Videos hochzuladen oder auf die Galerie zuzugreifen, gibt es nicht.

Hi, wenn man eine Voice Message gesendet hat, dann steht unten drunter: "Du hast gesendet audio". Das könnte eleganter klingen, wie "Sprachnachricht gesendet" oder "Du hast eine Audio-Nachricht gesendet" oder einfach "gesendet".

Aktuell wird sowohl von „Omega Connect“ als auch „Connect by Omega“ gesprochen. Das könnte Nutzer beim Finden der App bzw. beim Verbinden eventuell verwirren.

Wenn ein bestehender Account zur App hinzugefügt wird, dann wird die Eingabe der App-PIN bei einer Bildschirmübertragung übertragen und ist für andere während der Eingabe der Zahlen sichtbar. Wenn die PIN an anderer Stelle eingegeben wird, dann wird diese korrekterweise nicht übertragen und. der Bildschirm ist schwarz. Getestet mit scrcpy auf MacOS und Android.

Wenn ich in der App einen bestehenden Account hinzufügen möchte, dann wird der Bildschirm zum Eintragen der Seedphrase beim Screensharing (z.B. scrcpy auf MacOS) übertragen und ist für andere sichtbar. Wenn ich hingegen einen neuen Account anlege, dann wird dieser Bildschirm korrekterweise nicht übertragen. Dies ist mir während eines Webinars aufgefallen.

Man kann auf dem IPhone 11 Pro kein Dokument, keine Videos und keine Bilder von der Galerie versenden. Die Kamera funktioniert zum versenden der Bilder.

Es wäre hilfreich und schön, wenn man auf eine Nachricht direkt eine Antwort schicken kann, dann weiß derjenige, wenn man ihm mehrere Nachrichten schickt, auf welche Nachricht die jeweilige Antwort bezogen ist, wie zum Beispiel auch bei WhatsApp oder bei Telegram. Oft muss man dann erst die betreffende Nachricht durch hoch scrollen suchen, das ist oft sehr mühsam und manchmal überlässt man sie dann auch. meines Erachtens würde es den Nutzen einfacher machen.

Hallo zusammen, ich habe jetzt gerade von einem Bekannten mehrere Sprachnachrichten erhalten, er kann sie bei sich laut anhören aber wenn ich sie als Empfänger anhören möchte, ist Stille. Ebenso habe ich es fast immer, dass, obwohl ich die Lautstärke auf dem Handy ganz laut habe, die Sprachnachricht nicht über Lautsprecher anhören kann, sondern sie ist dann sehr leise, so dass ich sie mit Handy am Ohr anhören muss und das dann bei voller Lautstärke. Vielleicht hilft euch das. Herzliche Grüße. Simone Hartmann

In den Einstellungen unter „Geschäftsbedingungen“ lässt sich die geöffnete Ansicht nicht mehr verlassen. Die Seite lädt korrekt und man kann bis zum Ende scrollen, jedoch gibt es keinen sichtbaren Button oder eine andere Möglichkeit, zur vorherigen Ansicht zurückzukehren (z. B. zurück zu den Einstellungen oder Chats). Dadurch ist die Navigation an dieser Stelle blockiert. Um wieder in die App zurückzukommen (z. B. zu den Chats), muss die App vollständig geschlossen und neu geöffnet werden. Hinweis: Ein Zurück- oder Schließen-Button würde das Problem lösen und die Navigation deutlich verbessern.

Wenn man jemand anruft, stimmt die Uhrzeit nicht mit der aktuellen Zeit überein. Laut Foto wurde der Anruf um 18:47 getätigt und es zeigt an unter der App 16:47.

Wenn man unter Einstellungen, Geschäftsbedingungen klickt, fehlt oben links der Pfeil zum Seite wechseln. Mann muss für diese Ausführung nach rechts swipen. Wie bei allen anderen Dunkelmodus, Sprache, Sicherheit und Datenschutz ist das vorhanden.

Die Benutzerfotos anklicken und dann das Foto grösser sehen, sonst kann man gast nicht erkennen, ob es die richtige Person ist, so wie bei WhatsApp z. B. Habe vorhin ein Formular ausgefüllt über, dass ich keine Zulassung zu Foto anhängen habe Nr 89, habe keine Email erhalten, vielleicht habe ich sie falsch angegeben?

Wenn ich ein Video anhängen möchte in meiner ersten Nachricht, kommst heraus, dass ich die Berechtigung geben muss, habe ein Screenshot gemacht, ist aber schwarz (lässt sich nicht fotografieren) siehe Anhng. Dann werde ich zu den Berechtigugweiter geleitet, dort sind alle Berechtigungen eingeschalten, aber es geht trotzdem nicht. Das selbe Dokumente u Gallerie. Dort bekomme ich auch kein Screenshot hin, nur schwarzes Bild. Ich kann keine Fotos anhöngen

Aktuell werden Medien im Chat mit großer weißer Fläche dargestellt während sie verschlüsselt, geladen oder entschlüsselt werden. Ich habe die Rückmeldung bekommen, dass es sich so anfühlt, als würde die App hängen oder eine schlechte Verbindung vorliegen. Es wäre sehr gut, wenn hier ein cooles Feedback in diesem weißen Bereich dargestellt wird: z.B. eine Prozentzahl, Fortschrittsbalken oder eine stark pixeliges Bild, dass dann immer schärfer und schärfer wird. So sehen die Anwender, dass im Hintergrund etwas passiert.

Nach dem Einloggen sah ich zuerst die Liste der Anrufe. Gestern hatte mich ein anderer user angerufen und ich wollte noch mal schauen, wer es war. (es war detlef). Ich klickte auf seinen Namen und der Bildschirm wurde schwarz. (Sreenshot bei dem nur unten rechts koki60 zu sehen ist). Nur wenn ich länger auf den Bildschirm drückte, zeigte der Bildschirm unten Steuerungsbuttons (2. Screenshot). Hinweis: Vor ein paar Stunden bin ich von D nach FR gefahren und habe erst vor ein paar Minuten den mobilen Empfang von Daten auf Roaming (Telefonica) umngestellt.

Hey Team, in your response you said the issue was solved already though an update in the appstore: “Thank you for your Input. This issue was already solved. You can just update the application in the AppStore, then this won't happen again. Thank you” But there is no update available (screenshot) Would love a payout, but doesn’t need to be, I’d rather have the app

Schreibweise für Text sollte korrigiert werden: Zeige den Seedphrase an ---> Zeige die Seedphrase an delete_account ---> Konto löschen

Ich habe die Omega Sprachanruffunktion und Videocall ausprobiert. Ich kann anwählen jedoch kommt der Anruf nicht an. Weder klingelt das Telefon noch gibt es eine Anzeige, dass ein Anruf reinkommt. Somit kann mein Gegenüber nicht abheben.

Bei neuer Nachricht kein Kennzeichensymbol, Benachrichtigungen können auch nicht eingestellt werden.

Neue Nachrichten werden nicht im Banmer angezeigz

App language = German 1. Open App 2. Open Settings 3. Edit Account (pencil) Expected behavior: "Account löschen" Actual behavior: "delete_account" See screenshot attached.

1. Navigate to Chats (or Group Chats) 2. Open Chat 3. Write a text (Test1) 4. Tap long on text message (Test1) Expected behavior: All text should be visible (also with opened keyboard) Actual behavior: Text is hidden with keyboard (keyboard is overlapping the text) See screenshot attached.

Beim Löschen des Accounts wird die gesamte Seite nicht mit Text, sondern mit technischen Platzhaltern dargestellt.

Ich chatte mit einem Bekannten. Dieser hat mir eine Sprachnachricht gesendet. Dort wird ein Fragezeichen anstelle des Profilbildes angezeigt. Bei meiner eigenen Sprachnachricht sehe ich nur eine Initiale. Auch dort wird kein Profilbild angezeigt.

Ich habe einen zweiten Account zum Testen. Beim Chat mit diesem Account sehe ich mein eigenes Profilbild aber das von meinem zweiten Account nicht. Wenn ich auf den zweiten Account wechsle, dann kann dieser mein Profilbild und sein eigenes sehen.

In einer Gruppe werden die Profilbilder nicht angezeigt. Stattdessen werden Initialen in unpassender Symbolgröße dargestellt.

In der Gruppen-Info sieht man ganz unten einen technischen Platzhalter anstelle des angedachten Textes: group_created_by

Nach Änderung des Gruppenfotos wurde ein leerer Platzhalter im Hinweis angezeigt anstelle des Benutzernamens.

Ich habe die App auf Deutsch gestellt, sehe aber englische Uhrzeit und Datum.

Ich hatte einen Chat mit einem anderen User. Dieser hat sich scheinbar gelöscht aber ich kann noch immer mit diesem Account chatten.

Beim Einrichten der App gelangt man auf einen Bildschirm zur Aktivierung der Biometrischen Verifikation (Toggle JA/NEIN). Dort gibt es keinen Überspringen-Button wie in anderen Konfigurationen. Auch ein Scrollen ist nicht möglich. Der Toggle lässt sich nicht bedienen. Nach einem Neustart kann man die PIN eingeben und dann dreht sich der Loading Indicator auf schwarzem Hintergrund permanent. Geräte-Info im Anhang. Fehler ist reproduzierbar. Neuinstallation der App bringt den gleichen Fehler.

Wenn man Deutsch auswählt, sollte es lauten "Englisch" und "Deutsch"

Wenn ich den Benutzer umbenannt habe, finde ich dann keine Möglichkeit mehr, seinen eigentlichen Omega Connect Benutzernamen zu finden. Der ursprüngliche Benutzername war: carsten-ck1

Wenn ich von einem Kontakt zum 1. mal eine Sprachnachricht bekomme und diese abhöre, geht es nicht über den Lautsprecher, sondern muss das iPhone ans Ohr halten, um es hören zu können. Workaround: Ich sende meinem 2. User eine Sprachnachricht, dann kann ich alle Sprachnachrichten über den Lautsprecher abhören.