https://hackerone.com/reports/640530

Этот репорт описывает уязвимость "Insecure Frame" на сайте curl. Уязвимость заключается в том, что веб-страница загружает небезопасное содержимое в iframe (вложенное окно), которое может вызвать утечку конфиденциальных данных или запустить вредоносный код. Для решения проблемы рекомендуется применить sandboxing в iframe, то есть "песочницу", которая создает дополнительные ограничения для вставленного содержимого и предотвращает его влияние на родительскую веб-страницу. Также рекомендуется избегать использования атрибутов seamless, allow-top-navigation, allow-popups и allow-scripts, если содержимое не является надежным. Если уязвимость не устранена, то злоумышленник может использовать iframe для перехвата данных пользователя, перенаправления пользователя на фишинговые сайты или запуска вредоносного скрипта. Правильное применение атрибута sandbox в iframe предотвратит такие атаки.

https://hackerone.com/reports/640532

Этот репорт описывает уязвимость, связанную с загрузкой ресурсов с незащищенного (HTTP) источника на защищенной (HTTPS) странице. При этом, если на HTTPS страницу загружаются активные контенты, такие как скрипты или стили, через HTTP, то соединение частично не зашифровано, а трафик может быть прочитан злоумышленником. В результате, злоумышленник может перехватить запрос на HTTP контент и изменить ответ, вставив злонамеренный код. Уязвимость может быть использована для кражи учетных данных пользователя, получения конфиденциальных данных или для установки вредоносного ПО на системе пользователя.

Для устранения уязвимости можно использовать две технологии: HTTP Strict Transport Security (HSTS) и Content Security Policy (CSP). HSTS – это механизм, который обеспечивает безопасную загрузку ресурсов, даже при ошибках пользователя или ошибке разработчиков, когда они используют небезопасную ссылку на защищенной странице. CSP может использоваться для блокировки загрузки небезопасных ресурсов с веб-сайтов третьих сторон. Кроме того, можно использовать "относительные URL" для автоматического выбора протокола HTTP или HTTPS в зависимости от того, с каким протоколом пользователь подключен.

https://hackerone.com/reports/640904

Этот репорт описывает уязвимость в модуле Yarn версии 1.16.0, который является менеджером зависимостей для Node.js. Уязвимость заключается в том, что для пакетов, указанных в yarn.lock как `resolved "http://registry.npmjs.org/@...`, Yarn отправляет учетные данные npm (токен авторизации `_authToken`) по незашифрованному каналу HTTP. Это позволяет злоумышленнику совершить атаку Man-in-the-Middle и перехватить учетные данные npm, если разработчик выполняет команду `yarn install`. Для воспроизведения атаки необходимо создать пустой пакет с единственной зависимостью от "@babel/core": "^7.5.4", заменить все упоминания `https://registry.yarnpkg.com` на `http://registry.npmjs.org/` в сгенерированном файле yarn.lock и запустить `yarn install`. Появление таких `yarn.lock` файлов на GitHub является частым явлением.

Это может привести к тому, что злоумышленник может подделать данные учетной записи на npm, опубликовать пакеты от ее имени и использовать эти пакеты внутри компании, что может иметь серьезные последствия. Разработчики также могут не знать о подделке, поскольку их учетные данные, возможно, не были украдены, и они могут доверять пакетам, опубликованным от имени поддельной учетной записи. Однако если разработчик выйдет из системы или изменит свой токен авторизации, то это может привести к перебоям в установке пакетов и проблемам с обновлением зависимостей.

https://hackerone.com/reports/642494

Этот репорт описывает обнаруженные уязвимости в веб-приложении merchant.kartpay.com. Первая уязвимость связана с ошибкой аутентификации на SMTP-сервере, которая приводит к раскрытию токена верификации. Вторая уязвимость позволяет злоумышленнику изменить пароль пользователя, используя токен верификации. Для эксплуатации уязвимостей злоумышленник должен знать адрес электронной почты и номер телефона пользователя.

Эксплуатация уязвимостей может привести к компрометации учетных записей пользователей, потенциальной утечке их личной информации и нарушению их конфиденциальности. Кроме того, ошибка аутентификации SMTP может привести к раскрытию чувствительной информации, связанной с аутентификацией на сервере. Все это может привести к репутационным и финансовым потерям для владельцев веб-приложения.

https://hackerone.com/reports/642515

Этот репорт описывает шаги эксплуатации уязвимости в приложении Nextcloud. В нем описывается, как создать групповую папку с разрешениями доступа, которые запрещают определенной группе пользователей доступ к определенным файлам внутри этой папки. Однако через клиентское приложение можно обойти это ограничение и удалить защищенный файл с помощью переименования другой папки в то же имя, что и защищенный файл.

Это может привести к потере и удалению важных конфиденциальных данных, которые были специально скрыты от некоторых пользователей или групп. Таким образом, злоумышленник с низкими привилегиями может получить доступ к конфиденциальной информации и удалить ее, не имея на это прав.

https://hackerone.com/reports/642643

Этот репорт описывает уязвимость на сайте merchant.kartpay.com, связанную с использованием токена при авторизации пользователей. Уязвимость позволяет злоумышленнику обойти использование токена и выполнить действия от лица авторизованного пользователя, например, выполнить атаку перебора паролей.

Шаги эксплуатации данной уязвимости:
1. Зайти на страницу авторизации или любую форму на сайте.
2. Ввести данные для авторизации и перехватить запрос в Burp Suite.
3. Изменить запрос, удалив токен, и отправить его повторно.
4. Удачно выполнить запрос и обойти использование токена.

Эта уязвимость может привести к несанкционированному доступу к личной информации пользователей и выполнению действий от их имени. Также возможен взлом аккаунта пользователя при помощи атаки перебора паролей.

https://hackerone.com/reports/642675

Этот репорт описывает уязвимость в веб-приложении Infogram, которая позволяет атакующему выполнить запросы от имени сервера без его ведома. Атака основывается на том, что веб-приложение не проверяет корректность ввода IPv6/IPv4 адресов при получении URL ресурсов. Атакующий может использовать эту уязвимость для выполнения запросов к внутренним системам и получить чувствительные данные или принять вредоносные меры.

Для эксплуатации уязвимости необходимо выполнить следующие шаги:
1. Перейти по ссылке: https://infogram.com/api/web_resource/url?q=http://[0:0:0:0:0:ffff:127.0.0.1]
2. Вставить свой код в значение параметра "q".

Эксплуатация данной уязвимости может привести к серьезным последствиям, так как злоумышленник может получить доступ к конфиденциальной информации или выполнять вредоносные действия от имени сервера. Поэтому устранение уязвимости должно быть осуществлено как можно скорее.

https://hackerone.com/reports/642862

Этот репорт связан с уязвимостью веб-сервера, на котором работает сайт merchant.kartpay.com. В частности, было обнаружено, что на сервере разрешён метод HTTP OPTIONS, который позволяет запрашивать список доступных методов для обмена данными между сервером и клиентом. Однако, использование этого метода в домене merchant.kartpay.com не представляет значительных угроз, потому что на этом сайте основными методами являются GET и POST.

В репорте отмечается, что уязвимость не критическая, и хотя возможность использования других методов существует, это практически не имеет влияния на безопасность сайта. Однако, учитывая наличие уязвимости, автор репорта получил вознаграждение в рамках программы вознаграждений за обнаружение уязвимостей (баунти).

Что касается шагов эксплуатации, то возможно использование метода HTTP OPTIONS для получения информации о сервере и его конфигурации. Но, как уже упоминалось, в данном случае это не приводит к серьезному нарушению безопасности.

https://hackerone.com/reports/642876

Этот репорт информирует о уязвимости приложения Kartpay, которая связана с открытой переадресацией URL при использовании заголовка Referrer в запросах HTTP. Атакующий может создать URL в приложении, который вызовет переадресацию на произвольный внешний домен.

Для воспроизведения уязвимости необходимо сделать HTTP-запрос с заголовком Referrer, изменить его на произвольный (например, bing.com), после чего запрос будет перенаправлен на этот произвольный домен.

Эта уязвимость может привести к серьезным последствиям, например, phishing-атакам, когда злоумышленник ведет пользователей на фальшивые сайты с целью получения их личных данных.

https://hackerone.com/reports/642886

Этот репорт описывает уязвимость в системе безопасности сервиса LiberaPay. Она позволяет злоумышленнику изменить пароль на аккаунте, даже если он не знает старый пароль. Для этого нужно добавить новый email адрес в профиль и подтвердить его, затем сделать его основным и через него сбросить пароль. Это позволяет обойти механизм защиты, который требует ввода старого пароля для его изменения.

Такая уязвимость может привести к компрометации аккаунтов пользователей, утечке персональных данных, финансовых потерь и нарушению доверия пользователей к сервису.

Рекомендуется исправить уязвимость, добавив проверку на ввод старого пароля при изменении основного email адреса и пароля на аккаунте.

https://hackerone.com/reports/643225

Этот репорт о том, что сайт https://hackerone.com/jamieweb уязвим к инъекциям заголовков Host. Это может привести к различным атакам, таким как подмена ссылок на другие сайты, изменение хоста при сбросе пароля, отравление кэша, доступ к другим внутренним хостам/приложениям, XSS и т. д. Шаги для эксплуатации включают изменение Host заголовка и некоторых других заголовков при отправке GET-запросов. В случае успеха, атакующий может получить доступ к конфиденциальным данным, выполнить XSS-атаку и т.д.

https://hackerone.com/reports/643274

Этот репорт описывает уязвимость в системе Twitter, которая позволила злоумышленникам захватить учетные данные пользователей Google и установить на их аккаунты опасное приложение Twitter. Уязвимость была обнаружена благодаря укороченным ссылкам в прямых сообщениях, которые были подменены злоумышленниками. В результате жертвы переходили по ссылкам и не замечали вредоносный сценарий, который приводил к установке опасных приложений и отправке зловредных ссылок дальше по списку аккаунтов, создавая вирусную атаку. Поскольку злоумышленники получили доступ к учетным данным Google, они смогли получить доступ к многим сервисам и данных пользователей, уязвимых для атак. Чтобы установить уязвимость, злоумышленники использовали несколько доменов и прошли через несколько этапов, включая клик на кнопку аутентификации в Twitter. Уязвимость была документирована и сообщена команде Twitter и Google.

https://hackerone.com/reports/643442

Этот репорт описывает уязвимость на сайте Concrete CMS, которая позволяет проводить атаку типа XSS (межсайтовый скриптинг) через параметр `cID`, который не проходит достаточной фильтрации. Это означает, что злоумышленник может внедрить его в специально подготовленный URL и отправить его на сайт, где он будет выполнен в контексте другого пользователя. Это может привести к краже кук (сессионных cookie-файлов) или выполнению произвольных действий от имени других пользователей.

В репорте также предлагаются два варианта исправления проблемы: приведение параметра `cID` к целому числу с помощью функции `intval()` или фильтрация его через функцию `htmlentities()` перед рендерингом. Желательно использовать оба варианта.

https://hackerone.com/reports/643446

Этот репорт описывает ошибку в настройке перенаправления для поддомена corne.maximum.nl. Автор репорта обнаружил, что данный поддомен ведет на сайт "maximum.com", контроль которого находится у китайской организации. Он указал на то, что, по его мнению, это является ошибкой, но не имеет серьезных последствий.

Шаги эксплуатации в данном репорте нет, так как нарушение безопасности не обнаружено. Однако, если бы было обнаружено какое-либо нарушение, шаги эксплуатации могли бы варьироваться от доступа к конфиденциальной информации до удаленного выполнения вредоносного кода на сервере. В данном случае же, обнаруженная ошибка может привести только к неправильному перенаправлению пользователя на другой сайт. Таким образом, эта уязвимость не имеет серьезных последствий для безопасности системы.

https://hackerone.com/reports/643537

Данный репорт описывает уязвимость на странице https://merchant.kartpay.com/payment_settings/type, которая склонна к XSS атакам. В параметре "status" можно вставить код, который будет выполнен вместе со страницей. В данном случае используется код, который выводит окно с информацией о cookie-файлах.

Шаги эксплуатации уязвимости описаны в разделе "Steps to Reproduce". Важно отметить, что для атаки необходимо сначала залогиниться на сайте, перейти на страницу https://merchant.kartpay.com/payment_settings и проследить запрос с помощью Burp suite proxy.

Эксплуатация этой уязвимости может привести к возможному краже конфиденциальной информации, такой как пользовательские сессии, cookie-файлы и т.д. Кроме того, злоумышленник может внедрить вредоносный код на страницу, который будет выполняться у каждого пользователя, который перейдет на эту страницу. Это может привести к дальнейшим атакам на пользователя.

https://hackerone.com/reports/643622

Этот репорт описывает уязвимость в функционале получения видео контента с YouTube, которая позволяет осуществлять запросы к локальной машине (127.0.0.1) через SSRF. Хакер демонстрирует шаги для воспроизведения уязвимости, используя различные URL-адреса, и указывает на возможность произвести пробу интранета. Если данная уязвимость будет эксплуатирована, злоумышленник сможет осуществлять запросы к локальной машине, нанести вред как ей самой, так и другим уязвимым серверам, находящимся в одной сети. Это может привести к утечке конфиденциальной информации, нарушению целостности данных и другим негативным последствиям.

https://hackerone.com/reports/643882

Этот репорт был направлен на платформу HackerOne и содержит информацию о нахождении уязвимости на поддоменах devmaximum.com. Хакер обнаружил целый ряд сайтов на этих поддоменах, содержащих личные данные пользователей, которые были доступны через SSL-сертификат Maximum.nl. Он также отметил, что разработчики Maximum используют пароль "admin:admin" для доступа ко всем сайтам. Если эта информация будет использована злоумышленниками, это может привести к серьезному нарушению безопасности на этих веб-ресурсах.

Более того, хакер заявил, что в процессе своих тестов он обнаружил 116 уникальных электронных адресов и получил доступ к 344 сайтам разработчиков с помощью инструмента поиска поддоменов Sublist3r.

В конце репорта хакер задает вопрос, разрешено ли ему продолжить исследования или следует их прекратить, и просит добавить домен devmaximum.com в список тестируемых для исправления обнаруженной уязвимости.

Репорт содержит важную информацию о возможном нарушении безопасности и рекомендует принимать меры для устранения уязвимости.

https://hackerone.com/reports/643908

Этот репорт описывает найденную уязвимость на сайте WordPress. Эксплойт, который он описывает, позволяет злоумышленнику провести атаку типа Stored XSS. Ошибка находится на странице https://core.trac.wordpress.org/, которая является страницей для создания и управления тикетами.

Для эксплойта нужно выполнить следующие шаги:

1. Авторизоваться на сайте https://core.trac.wordpress.org/ под аккаунтом A.
2. Открыть новое приватное окно и залогиниться под аккаунтом B.
3. Перейти на страницу https://core.trac.wordpress.org/newticket и заполнить поля summary и description.
4. Выбрать Workflow Keyword и нажать на manual. Вставить в поле payload значение "><svg/onload=alert(document.domain)>.
5. Нажать кнопку Create Ticket и скопировать URL страницы.
6. Открыть новое приватное окно и перейти по скопированному URL.
7. Появится alert при загрузке страницы, что означает, что выполнена попытка XSS атаки.

Успех выполнения атаки позволит злоумышленнику получить доступ к cookies жертвы, что может привести к дальнейшим атакам на аккаунт жертвы.

Если уязвимость будет использована злоумышленником, то это может привести к возможности выполнения вредоносного кода в контексте пользователя или получению доступа к личным данным. Медленная или отсутствующая реакция на уязвимость может привести к серьезным последствиям для пользователей и организаций, которые используют данный сайт.

https://hackerone.com/reports/644358

Этот репорт сообщает о нахождении конфиденциальной информации о членах вооруженных сил, которая была опубликована в PDF-файле на веб-сайте. В отчете также уточняется, что документ содержит данные о дате рождения, месте рождения, семейном статусе, национальности и наличии детей у военнослужащих и остальных подробностях. Уязвимость оценивается как высокая и может привести к разглашению чувствительной персональной информации и представлять опасность для безопасности военнослужащих и их семей. Рекомендуется немедленно удалить документ.

https://hackerone.com/reports/645264

Этот репорт описывает уязвимость в функционале уведомлений электронной почты на платформе HackerOne. Когда программа устанавливает настройки уведомлений электронной почты на "Без содержимого", заголовок отчета не отображается в уведомлении электронной почты для хакеров, которые работают с этой программой. Однако если другой хакер добавляется в качестве внешнего участника к отчету, заголовок отчета и действия выводятся в отчете. Хакер, добавленный как внешний участник, может увидеть заголовок отчета в уведомлении электронной почты, даже если программа установила настройки уведомлений на "Без содержимого".

Уязвимость может привести к утечке информации о заголовке отчета и нарушению настроек безопасности программы. Например, если заголовок отчета конфиденциальный, и программа установила настройки уведомлений электронной почты на "Без содержимого", то хакеры не должны увидеть этот заголовок в уведомлении. Однако, если хакер был добавлен в качестве внешнего участника к отчету, заголовок отчета может быть открыт для неавторизованных лиц.

https://hackerone.com/reports/645299

Этот репорт описывает уязвимость в graphql-эндпоинте. При использовании условий where для выборки нескольких элементов коллекции, если для этой выборки использовать оператор "или" (_or), то только одно условие из списка проходит через созданный безопасный схему graphql. Остальные условия не проходят через безопасный схему и не скрывают конфиденциальную информацию, такую как статус в Teams. Через данную лазейку злоумышленники могут извлекать конфиденциальные данные, которые должны быть скрыты от обычных пользователей.

Для воспроизведения этой уязвимости необходимо использовать graphql клиент, запустить запрос с оператором "или" для выборки элементов коллекции и заметить, какая информация становится доступна, несмотря на то, что она должна быть скрыта.

Эксплуатация уязвимости может привести к утечкам важной тайной информации о пользователях.