VK.com: Уязвимость дает возможность видеть записи , которые предлагаются пабликам + еще

Просмотр фотографий из предложенных записей. ███████████████████████████ ███████▀▀▀░░░░░░░▀▀▀███████ ████▀░░░░░░░░░░░░░░░░░▀████ ███│░░░░░░░░░░░░░░░░░░░│███ ██▌│░░░░░░░░░░░░░░░░░░░│▐██ ██░└┐░░░░░░░░░░░░░░░░░┌┘░██ ██░░└┐░░░░░░░░░░░░░░░┌┘░░██ ██░░┌┘▄▄▄▄▄░░░░░▄▄▄▄▄└┐░░██ ██▌░│██████▌░░░▐██████│░▐██...

VK.com: Способ узнать имя человека и ВУЗ удаленной страницы

Выбираем любую удаленную страницу. 2. Например, открываем http://vk.com/id55555 3. Видим сообщение о том, что "Страница удалена, либо еще не создана" и никакой информации более. 4. Воспользуемся widgetsubscribe.php с одним лишь параметром oid 5. https://vk.com/widgetsubscribe.php?oid=55555 6...

VK.com: Недочет в поиске по хештегам

Возможность узнать ID записи с определенным хештегом, если он единственный на стене. Возможность узнать ID записи с определенным хештегом, если он единственный на стене. И СЛОВО В ЭТОМ ПОСТЕ ! тобишь photo значит в после присутствует слово photo и соответсвенно скорей всего есть фотография и с...

VK.com: CSRF в получении резервных токенов+framing , приводящие к компроментации 2fa

Отсутствие hash на вывод списка резервных кодов...

VK.com: Уязвимость Создание фотографий без ведома пользователей

CSRF, позволяющий загрузить фотографию на сайт от имени атакуемого, без публикации. При переходе на специально сгенерированную ссылку VK.COM или на сайт с вредоносным кодом на ID пользователя автоматически добавлялась фотография моя i die ███████████████████████████ ███████▀▀▀░░░░░░░▀▀▀███████...

VK.com: Issue in the implementation of captcha and race condition

Reuse of captcha. The researcher was able to find a misconfiguration in the captcha mechanism which allowed him to reuse any captcha and bypass the uniquness of the same . Furthermore the race condition bypassed the no. of retries...

VK.com: Уязвимость получения всех номеров телефонов вк (по совместительству логинов профилей)

Отсутствие flood-контроля у api-метода auth.checkPhone. Сколько ещё умирать ? ███████████████████████████ ███████▀▀▀░░░░░░░▀▀▀███████ ████▀░░░░░░░░░░░░░░░░░▀████ ███│░░░░░░░░░░░░░░░░░░░│███ ██▌│░░░░░░░░░░░░░░░░░░░│▐██ ██░└┐░░░░░░░░░░░░░░░░░┌┘░██ ██░░└┐░░░░░░░░░░░░░░░┌┘░░██...

VK.com: XSS at http://vk.com on IE using flash files

Steps + Open the below url in Internet Explorer http://vk.com/swf/photouploaderlite.swf?h=h?&onMouseOver=document.writewindow.location.hash.substr1alertdocument.domain + Just hover your mouse over the page. Minor Observations + No "X-Content-Type-Options: nosniff" header allows IE to play the fla...

VK.com: XSS on added name album on videos.

Hi Steps to reproduce: First go to : https://vk.com/video Next click on Add a Video After add a video from youtube and on title Field Insert TEST XSS And click save. Next after this go to https://vk.com/video again and you will see video with the name TEST XSS Click above TEST XSS and you will fo...

VK.com: API: Bug in method auth.validatePhone

The bug is that auth.validatePhone does not validate the parameter "sid". In theory he should be in the format "2fa$userId$appId$hash", but to get the correct result send SMS/make call enough only "2fa$userId$anyText". For example, these requests will send a SMS:...

VK.com: Able to intercept app Traffic after choosing up the Secured Connection using SSL (HTTPS)

Install the app Login with Valid credentials Settings - Choose Secured connection HTTPS Close the app Set the proxy and Open the app verify that Connection isn't Secured and able to intercept PFA POC Expected Result : Secured layer & SSL PINING should be applied successfully...

VK.com: Page replacement and redirect loop

Открытие страницы через параметр в запросе и циклическое перенаправление. This report includes a description of two vectors: 1. Page replacement via hidden vulnerable parameter that may lead to phishing attacks. 1. Infinite redirect loop...