Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book

Tag: IDOR

Jak można było mieć dostęp do dziesiątek tysięcy raportów z wypadków, w których brały udział samochody wypożyczone z Hertz? Zmieniając identyfikator w tym adresie: /accident-report/12345

19 września 2024, 11:02 | W biegu | komentarzy 7
Jak można było mieć dostęp do dziesiątek tysięcy raportów z wypadków, w których brały udział samochody wypożyczone z Hertz? Zmieniając identyfikator w tym adresie: /accident-report/12345

Uff, w zasadzie cała treść znaleziska zmieściła się w tytule ;-) co w pewien sposób świadczy o poziomie bezpieczeństwa aplikacji webowych w 2024 roku… Dla jasności cała historia wyglądała tak: najpierw badacz otrzymał maila z Hertz z informacją o swoim raporcie. W tym przypadku adres w aplikacji webowej wyglądał mniej…

Czytaj dalej »

W banalny sposób(*) zarobił $15 000 – zgłosił tę podatność do Snapchata

07 marca 2023, 09:19 | W biegu | komentarze 2
W banalny sposób(*) zarobił $15 000 – zgłosił tę podatność do Snapchata

Snapchat posiada tzw. wyróżnione video: Snapchat has viral video feature callled spotlight Snapchat posiada też program bug bounty. A w programie bug bounty ktoś zgłosił następującą podatność: Delete anyone’s content spotlight remotely. Wykorzystanie podatności było rzeczywiście banalne, pod warunkiem że poświęciliśmy trochę czasu i spojrzeliśmy na żądanie HTTP zawierające następującego…

Czytaj dalej »

Raport ze zgłoszenia podatności: dostęp do wrażliwych danych użytkowników aplikacji IVECO ON

17 lutego 2023, 09:13 | W biegu | komentarzy 6
Raport ze zgłoszenia podatności: dostęp do wrażliwych danych użytkowników aplikacji IVECO ON

Jeden z czytelników sekuraka przesłał nam opis ciekawego znaleziska (znalezisk) w aplikacji IVECO ON. Dla pewności – obecnie wszystkie wskazane podatności są obecnie załatane. Aplikacja jest globalna a IVECO wylicza tak jej zalety. Mamy tutaj: Informacje na temat floty  oceny stylu jazdy, emisji CO2 w celu poprawy ogólnej wydajności i zrównoważonego rozwoju. Można również monitorować…

Czytaj dalej »

Badacz: możliwość poznania danych osobowych użytkowników Apple. Nagroda w bug bounty: ~100 000 PLN

15 stycznia 2021, 13:33 | W biegu | 0 komentarzy
Badacz: możliwość poznania danych osobowych użytkowników Apple. Nagroda w bug bounty: ~100 000 PLN

Znany badacz Sam Curry opublikował ciekawą notkę na Twitterze: IDOR on Apple via „X-Dsid” header allows attacker to retrieve name, credit card information, addresses, and various PII of any Apple users via DSID Bounty: $25,000 Could create a „god cookie” which had access to all Apple customers name, address, phone,…

Czytaj dalej »

Można było przejmować dowolną stronę na Facebooku. Nagroda za zgłoszenie buga: ~55 000 PLN

15 września 2020, 18:45 | W biegu | 0 komentarzy
Można było przejmować dowolną stronę na Facebooku. Nagroda za zgłoszenie buga: ~55 000 PLN

Pełen opis problemu możecie zobaczyć tutaj. Historia związana jest z nowym interfejsem Facebooka (tzw. FB5). Tutaj można było stworzyć nową (testową) stronę, a następnie utworzyć do niej użytkownika: Na razie nie ma żadnej podatności, ale po kliknięciu przycisku Create Username można było przechwycić żądanie HTTP (np. w Burp Suite) i wpisać…

Czytaj dalej »