@shuro
не обязательно дыры в API, может быть ошибка в работе с БД
такое уже было с гуглофото (выгружали в архивы чужие видео), с браузером Brave (подтягивал чужие закладки) и даже с Signal , хоть там и не так всё плохо - добавлял во входящее сообщение фотку из другого чата
github.com/signalapp/Signal-An