Rozbory
Podrobné rozbory skutečných zranitelností, které jsme našli v systémech firem a organizací — jak jsme je odhalili, jak na sebe navazovaly a jak jsme je nahlásili, abychom provozovatelům pomohli jejich systémy zabezpečit. A tu a tam i nějaký bug bounty writeup.
Motokeska.cz – Obejití platby pro vouchery zdarma, únik QR tokenů a odhalení polohy
Pět chyb na motokeska.cz: obejití platby vydávající vouchery zdarma, únik QR tokenů a profilové fotky odhalující GPS polohu.
Planetum.cz – zřetězené zranitelnosti vedly k RCE
Jediná SQL injekce na observatory.cz otevřela řetězec, který skončil administrátorským přístupem a vzdáleným spuštěním kódu (RCE) na planetum.cz — plus tři další nálezy.
Reflected XSS na Hvězdárně České Budějovice
Reflected Cross-Site Scripting ve vyhledávacím formuláři webů Hvězdárny České Budějovice a co s ním útočník může nenápadně provést.
Livesport - Vertical privilege escalation(s)
Chyba v business logice, která umožňovala manipulaci s bonusy a výsledky soutěže.
Livesport bug bounty – Directory traversal na lsid.eu
Zranitelnost Directory Traversal byla identifikována a zodpovědně nahlášena prostřednictvím oficiálního bug bounty programu společnosti Livesport.
