132 matches found
VK.com: Open Redirection Vulnerability in m.vk.com
Open Redirect...
VK.com: [Привязка email к странице] by [email protected] | email-flood
Отсутствие некоторых проверок при привязке почты. Impact: e-mail flood Флуд. █.vk.com/█?act=█&█=█&█=█&█=█&█=█&█=█&█=█&[email protected]&█=█&ref=█ Status: fixed Флуда больше нет. █.vk.com/█?act=█&█=█&█=█&█=█&█=█&chash=█&█=█&ref=█...
VK.com: Часть админки доступна для всех пользователей
Раскрытие старого админ. интерфейса...
VK.com: Получение вечного доступа к Long Pool и авторизованой страницы сайта, если мы когда-либо были на аккаунте жертвы
Недостаточные проверки в боте «Молодец». Всего один раз утащив аккаунт, после того как пользователь вернет доступ к аккаунту, было можно читать обновления Long Poll https://vk.com/dev/usinglongpoll, а еще проще - читать все новые сообщения в личке жертвы без возможности ревока доступа с её сторон...
VK.com: Reflected XSS в /al_audio.php
XSS в аудио. XSS в прикреплении аудиозаписи в виджете комментариев...
VK.com: CSRF на загрузку аудиозаписей
Недостаточные проверки хеша при загрузке аудиозаписей...
VK.com: Просмотр любого видео из частной группы и кто загрузил
Просмотр некоторых видеозаписей из закрытых групп...
VK.com: Reflected xss в m.vk.com/chatjoin
XSS в мобильных сообщениях...
VK.com: Обходим 2FA и/или получаем access_token, если мы когда-либо были на аккаунте жертвы
Частичный обход 2FA в некоторых случаях, имея доступ к странице. Была возможность всего один раз побывав на аккаунте в последующих случаях обходить 2FA. Хеши на https://login.vk.com/?act=grantaccess не имели срока действия и привязки к значимым параметрам аккаунта включена ли 2фа, когда посл. раз...
VK.com: Reflected XSS в m.vk.com
XSS в поиске по карте...
VK.com: error
Useless logs. Сначало был информатиФФФФ потом лог удалили и ресолвед бат ноу баунти...
VK.com: CSRF отредактировать карточки в посте у группы
Отсутствие хеша в запросе на редактирование рекламной карусели. Видеодемонстрация импакта: https://youtu.be/BO8lCwv01f0...
VK.com: CSRF на установку своей почты к аккаунту.
CSRF при привязке почты к странице. ВНИМАНИЕ ВКОНТАКТЕ КИНУЛИ МЕНЯ НА ВЫПЛАТУ И СКАЗАЛИ ЧТО Я ЭКСПЛУАТИРОВАЛ!! КОГДА Я ПОПРОСИЛ ДОКАЗАТЬ ЭТО ОНИ ЗАИГНОРИЛИ И ПРУФОВ С ИХ СТОРОНЫ НЕ ПОСЛЕДОВАЛО...
VK.com: Просмотр части номера телефона и отправка на него SMS, всего раз скомпроментировав аккаунт
Статичный hash, получив который вместе с доступом к аккаунту, можно было посмотреть несколько цифр номера телефона. Статичный hash в https://vk.com/mobile - для использования не требуется входить на аккаунт жертвы...
VK.com: CSRF в m.vk.com
Отсутствие проверки хеша при скрытии записей в мобильной ленте...
VK.com: Монипулирование на страницах пользоватлей значением "Подсказывать стикеры в полях ввода"
Отсутствовал hash в запросах при изменении настроек стикеров. Ошибочка в репорте включить на конце 1 Включить https://m.vk.com/attachments?ajax=1&act=stickershintsenabled&value=1 CSRF - ОТСУСТВИЕ HASH дает возможность совершать переключение в мобильной версии ВК , подсказок в полях ввода ! Тем...
Password Stealing Apps With Over A Million Downloads Found On Google Play Store
Even after so many efforts by Google like launching bug bounty program and preventing apps from using Android accessibility services, malicious applications somehow manage to get into Play Store and infect people with malicious software. The same happened once again when security researchers...
VK.com: Blind XXE on pu.vk.com
Blind XXE vulnerability in processing of uploaded documents. Blind XXE vulnerability in processing of uploaded XML-documents such as docx. Vulnerability was hard-exploitable, because all data retrieval channels did not work except DNS...