Todos los reportes
HackerOne Code enviaba a Segment tokens de restablecimiento de contraseña todavía válidos
Al abrir un enlace de restablecimiento de contraseña de HackerOne Code, Segment recibía automáticamente el token completo y sin usar, asociado al mismo identificador anónimo que ya estaba vinculado al email y al ID del usuario.
4 min
Nextcloud Collectives: un enlace público permitía crear páginas aunque la edición estuviera limitada a administradores
La API de creación de páginas de Nextcloud Collectives no aplicaba la restricción «Allow editing for = Admins only», así que quien entraba por un enlace público de edición podía crear páginas llamando al endpoint directamente.
2 min
HackerOne: la función de "skills" filtraba a otros hackers los títulos de reportes enviados como prueba
Una consulta mal escrita en /settings/skills devolvía a cada hacker los reportes que otros habían aportado como prueba de sus habilidades. HackerOne lo corrigió en horas y pagó 10.000 $.
3 min
Roundcube: inyección de cabeceras SMTP persistente a través del campo "organización" de la identidad
El campo organization de las identidades de Roundcube se guardaba sin quitar saltos de línea y se copiaba tal cual a la cabecera Organization, lo que permitía añadir cabeceras como Bcc o From a todos los correos enviados.
3 min
Nextcloud files_lock: bloquear y desbloquear ficheros de otros usuarios usando su ruta WebDAV absoluta
El plugin DAV de files_lock abría el fichero del usuario indicado en la URL sin compararlo con el usuario autenticado, y además devolvía el token de bloqueo a quien no estaba autorizado.
5 min
Cómo un fichero de imagen trucado lograba ejecución remota en GitLab (ExifTool)
GitLab pasaba las imágenes subidas por ExifTool para limpiar metadatos; renombrando un fichero DjVu como .jpg se colaba código Perl que el servidor ejecutaba. Es la CVE-2021-22205.
2 min
Leer cualquier fichero del servidor de GitLab moviendo una incidencia entre proyectos
Al copiar los adjuntos de una incidencia a otro proyecto, GitLab no validaba la ruta: con ../ se podía traer /etc/passwd o cualquier otro fichero del servidor.
2 min
De crear una tienda a ser root en Shopify: la cadena que empieza en un SSRF
Una plantilla que el generador de capturas ejecutaba permitía leer los metadatos de Google Cloud, robar el token de la cuenta de servicio y, vía Kubelet, acabar con shell root en los contenedores.
2 min
Robar sesiones de Slack en masa con un HTTP request smuggling
Una desincronización entre el frontend y el backend de slackb.com dejaba envenenar el socket y desviar las cookies de sesión de otros usuarios a un servidor del atacante.
2 min
Ejecución remota en el cliente de Steam con solo mirar la info de un servidor
Un servidor de partidas malicioso respondía con un nombre de jugador larguísimo y desbordaba la pila del cliente de Steam; el ataque podía dispararse incluso desde una web con steam://.
2 min
Saltarse la privacidad de Twitter para relacionar teléfonos y correos con cuentas
El flujo de login del cliente Android devolvía el ID de una cuenta a partir de su teléfono o email aunque el usuario hubiera desactivado esa opción; es el fallo detrás de la filtración de millones de cuentas.
2 min
Dos formas de colar XSS en los comentarios de GitLab saltándose el saneamiento
Encadenando un fallo en el servidor (data-sourcepos) y otro en el cliente (el elemento gl-emoji) se conseguía ejecutar JavaScript a cualquiera que abriera un comentario.
2 min