一处价值 $2500 的 DOM XSS 漏洞
概述 安全研究员 gamer7112 通过利用配置错误的 postMessage 处理器,在 Upserve 的登录页面(https://inventory.upserve.com/login/)上发...
骨哥说事公众号首发地
概述 安全研究员 gamer7112 通过利用配置错误的 postMessage 处理器,在 Upserve 的登录页面(https://inventory.upserve.com/login/)上发...
事件起因 2024 年,白帽小哥购买了一辆二手车,作为一名技术爱好者,他便迫不及待地想探索它的连接功能。 停车后,小哥立即在手机上安装了 My Volkswagen(ŠKODA Auto Volksw...
前期侦察 在分析 Target.com 时,通过 Burp Suite 中监控 HTTP 请求,发现一处 有趣的 API 端点: GET /accounts/manage-users-data HTT...
背景介绍 漏洞位于“organization name”(组织名称)字段,由于该字段接受并存储了未经过滤的用户输入,因此这些输入一旦被呈现在公共页面上,恶意的 Javascript 代码就会在用户的浏...
前言 当 Web 应用程序采用 URL 参数并将用户重定向到指定的 URL 而不对其进行验证时,就会发生开放重定向。 /redirect?url=https://evil.com –>...
前言 为期三天的 Pwn2Own 2025 在德国柏林落下帷幕,漏洞奖金达到 1,078,750 美元 !STAR Labs SG 团队最终赢得 Master of Pwn。该团队最终获得了 320,...
前言 国外白帽小哥和好友在对某个目标网站进行渗透测试时发现了一处API端点: https://api.test.com/users/public?page=1&search=bug_vs_me...
前言 说到现代 Web 技术, SOAP (Simple Object Access Protocol))可能并非你首先想到的。它是一种相对老的协议,在如今的应用中,常常被 REST、GraphQL ...