132 matches found
VK.com: Stealing Private Information in VK Android App through PlayerProxy Port Remotely
Incorrect interaction with the network...
VK.com: CSRF создание опроса от имени пользователя, зная id приложения. + небольшой флуд сообщениями на стену
CSRF на создание опроса от приложения...
VK.com: Stored xss в /lead_forms_app.php
XSS в "Форме сбора заявок". Жесть...
VK.com: XSS в личных сообщениях
XSS в ссылках в личных сообщениях, приходящих в реалтайме...
VK.com: Хранимая XSS в функционале добавления аудио в WYSIWYG
XSS в Wiki...
VK.com: Хранимая XSS на странице "Виджет для авторизации"
Self-XSS на странице документации виджета. На счет того Self-XSS это или нет - оставляю на усмотрение общественности. Но лично мое мнение - команда vk тут все же ошибается. Для эксплуатации уязвимости атакующий должен был: Создать приложение с именем javascript:alert1;// Добавить атакуемого...
VK.com: XSS в товарах
Отсутствие фильтрации при поиске в товарах. Не было фильтрации некоторых символов в поиске товаров. Из-за еще одного встроенного фильтра все приравнивалось к ="" и не получалось выполнить js. Выход из ситуации был найден в тот же день, получилось выполнить js:...
VK.com: Узнаем название и аватарку частной группы, по ID приложения.
Просмотр названия и аватарки частной группы. Отображение названия частной группы и миниатюры аватарки...
VK.com: XSS в приглашении в группу
Отсутствие фильтрации параметров при приглашении в группу. Дыра в меню приглашения друзей в группу, позволявшая встраивать код через url...
VK.com: Хранимая XSS в группе VK
Недостаточная фильтрация в боксе удаления приложения. Stored XSS в группе VK приложения...
VK.com: XSS в комментариях от имени сообщества
XSS в дропдауне выбора сообщества при комментировании...
VK.com: XSS в колбек апи в сообществах
Отсутствие фильтрации при выводе ответа от сервера. VK addressed and took a response from my server and displayed a payload on the response screen in the callback api section of the community ВКОНТАКТЕ обращался и принимал ответ от моего сервера и выводил полезную нагрузку на экран ответа в разде...
VK.com: Просмотр Участников ЧАСТНОЙ встречи
Просмотр участников частного мероприятия. i die ███████████████████████████ ███████▀▀▀░░░░░░░▀▀▀███████ ████▀░░░░░░░░░░░░░░░░░▀████ ███│░░░░░░░░░░░░░░░░░░░│███ ██▌│░░░░░░░░░░░░░░░░░░░│▐██ ██░└┐░░░░░░░░░░░░░░░░░┌┘░██ ██░░└┐░░░░░░░░░░░░░░░┌┘░░██ ██░░┌┘▄▄▄▄▄░░░░░▄▄▄▄▄└┐░░██ ██▌░│██████▌░░░▐██████│░▐...
VK.com: Узнать название частной группы и ее аватарку по видеоролику.
Отображение названия частной группы и миниатюры аватарки. Отображение названия частной группы и миниатюры аватарки. 2...
VK.com: Нет маркера на добавление песни в плейлист пользователя
Отсутствие хеша на добавление аудиозаписи в плейлист. csrf - уязвимость отсутствие hash в добавлении песни в плейлист пользователя или группы я мог добавить в плейлист группы или пользователя - например СВОЮ рекламную аудиозапись Upd 100$ я не понимаю ... 🤐😫😥😲😨😦😭😢😱...
VK.com: CSRF на сброс ключа трансляции.
Отсутствие хеша на сброс ключа трансляции...
VK.com: local file disclosure via FFmpeg hls processing
Vulnerability in FFmpeg. FFmpeg is video encoding software that is used by VK for preview generation and video conversion. FFmpeg is known to process HLS playlists that may contain references to external files. I was able to fire this feature using GAB2 subtitle chunks inside an AVI file. After...
VK.com: Посмотреть видеоролики, которые пользователь когда-либо скидывал в ЛС.
Просмотр превью и названия некоторых видеозаписей...
VK.com: Просмотр привязного к странице email, всего лишь раз скомпрометировав письмо-уведомление
Просмотр адреса электронной почты после получения доступа к письмам-уведомлениям из ВК. Всего лишь раз утащив аккаунт/мыло пользователя и утащив mhash, можно было иметь доступ к просмотру email пользователя, даже если он его сменит и тд, это давало доступ к вечному просмотру email, привязанному к...