API Хардкоденные API-ключи в desktop/mobile клиентах — извлечение creds из `.asar`, `.apk`, `.ipa` Читать » Mikhail Tarasov 10.11.2025
Bug Bounty Уязвимости в Signed URLs (AWS/GCS/Azure) — неверная валидация экспирации → вечные ссылки Читать » Mikhail Tarasov 10.11.2025
API DNS Rebinding на IoT API — домашние камеры и принтеры через браузер превращаются в твоих ботов Читать » Mikhail Tarasov 05.11.2025
Bug Bounty Хищение токенов через Service Workers — приписал scope пошире и перехватил запросы Читать » Mikhail Tarasov 05.11.2025
Bug Bounty SSO misconfig в SAML — IDP принимает твой кастомный issuer → логин без пароля Читать » Mikhail Tarasov 23.10.2025
Bug Bounty Взлом GraphQL через alias/dos — обрушение бекенда рекурсивными query-алиасами Читать » Mikhail Tarasov 23.10.2025
Bug Bounty NoSQL injection через nested массивы — Mongo любит странные payload’ы с `$[]` и `$where` Читать » Mikhail Tarasov 06.10.2025
Bug Bounty gRPC Reflection Misconfig — полный schema dump и вызов приватных методов Читать » Mikhail Tarasov 06.10.2025
Bug Bounty CSP Bypass через trusted CDN — инжекция на легальном Google Tag Manager Читать » Mikhail Tarasov 29.09.2025
Bug Bounty JWT KID Header атака — когда подписи проверяются по файлу `kid=/etc/passwd` Читать » Mikhail Tarasov 29.09.2025