Bir IDOR Vakası | Kritik Bilgi İçermiyor Diye Red Yedik!

[meksec]

Merhabalar Biraz Zaman Önce Bugcrowd Üzerinden ClassDojo Şirketinde Zafiyet Aramaya Başladım, Detaya veya Nasıl Bulduğuma Girmeyeceğim Video Ekliyorum Zaten.
Bu Rapora Kritik Bilgi İçermiyor Diye Red Verdiler Benim Kafama Mantığıma Oturtamadığım Şey Şu; Madem Zafiyetin Kritik Bilgi İçermesi veya Kritik Düzeyde Olması Lazım Neden Low dan Kritik Seviye ye Kadar Severity Var Bunu Anlamış Değilim.

Ha Bu arada Bugcrowd 30 gün hesabımı Askıya Aldı, Aynı Şirkete Aldı Ard Arda 3 Rapor Attım 1 Tanesi Gerçekten Sıkıntılı Bir Bulgu İdi Ama Ne Yazık ki 90 İçinde Çok fazla N/A Raporum Olduğu İçin ve Aİ Otomasyonu Kullanıdğım Gerekçesi ile Hesabımı Askıya Aldılar, O Kadar Özenle Rapor Yazıp Ekran Kaydı İle Kanıtları Atıyorum ki Sonuç Neden Böyle Anlamıyorum.

Bugcrowd dan Nefret Ettim Para Vermemek İçin Bir Yerlerini Yırtıyorlar...

Neyse ClassDojo Zafiyeti: Video İçin Tıkla

 

[baldwin]

yanlış değilsem classdojo da bu durum publicti zaten. ya da tasarım gereği öyleydi bi ara bende bakmıştım o yüzden idordan saymamışlar. Geçmiş olsun.

 

[meksec]

yanlış değilsem classdojo da bu durum publicti zaten. ya da tasarım gereği öyleydi bi ara bende bakmıştım o yüzden idordan saymamışlar. Geçmiş olsun.

bir kaç tane private bilgi var hocam email verify tarih şehir sanırsam

 

[' Tosİ]

yanlış değilsem classdojo da bu durum publicti zaten. ya da tasarım gereği öyleydi bi ara bende bakmıştım o yüzden idordan saymamışlar. Geçmiş olsun.

Hocam sebebi nedir peki? bildiğimiz idor zafiyeti değil mi bu? tasarım vs. ne demek yani hocam.

 

[baldwin]

bir kaç tane private bilgi var hocam email verify tarih şehir sanırsam

bu bilgiler varsa o zaman işin rengi değişir. benim zamanında baktığım publicti

 

[baldwin]

Hocam sebebi nedir peki? bildiğimiz idor zafiyeti değil mi bu? tasarım vs. ne demek yani hocam.

Bir bilgi sızıntısı göremedim. şuan microsoft üzerinde çalışıyorum. community sublarında bulduğum idor tarzı şeyler de mail-isim-soyisim private bir bilgi değil public oluyor. tasarım gereği mevzusu ise şu CVE-2024-50633 idmi incele ne demek istediğimi anlarsın
https://github.com/cetinpy/CVE-2024-50633/issues/1 buradaki tartışmayı inceleyilirsin

 

[xeloxa]

Tüm girdilere türkiyenin şehirlerini random sallayan sadece ben değilmişim

 

[meksec]

Hocam sebebi nedir peki? bildiğimiz idor zafiyeti değil mi bu? tasarım vs. ne demek yani hocam.

Public veri ise isterse başka kullanıcının maili gelsin karşına idor sayılmaz knk