Ребята из Wildberries запускают закрытый ивент!

1 сентября стартует особое событие для ресерчеров:

— новый уникальный скоуп

— дополнительные конкурсы и подарки

— онлайн и оффлайн части.


Как попасть внутрь?
До 29 августа нужно сдать отчет об уязвимости в основной программе. Количество мест ограничено — пригласят только авторов лучших работ.

Кроме того, выплаты за ключевые сценарии увеличены до 1 000 000 ₽ (да не 1000 и даже не 10 000 рублей!):

— несанкционированный доступ к тестовому ЛК продавца

— доступ к аккаунту покупателя

— финансовое обогащение.


Подробности — в канале @wildberries_bugbounty и на платформе Standoff 365.

В CSS добавили IF-Else и ребята из портсвиггера смогли дополнить с помощью него мою технику эксфильтрации данных
https://portswigger.net/research/inline-style-exfiltration

Интересный проект нормативного акта о изменении УК РФ был опубликован недавно однако
Поправок много, но больше всего читателей заинтересует правка к 272 УК РФ ( Неправомерный доступ к компьютерной информации )
2. Лицо не подлежит уголовной ответственности по настоящей статье в случае, если его действия направлены на информационные ресурсы в информационно-телекоммуникационной сети «Интернет», доступ к которым запрещен или ограничен в соответствии
‎с действующим законодательством Российской Федерации.»;
Если это примут без правок, то фактически ломануть условную сеть Илона Маска и украсть с неё данные - больше не блечерство 😳
* Это то как я это истрактовал, да и ещё до принятия далеко
https://regulation.gov.ru/projects/159661

Написал некоторые заметки про недавно опубликованное CVE-2025-41243, которое нашел еще летом. Все еще не покидает ощущение что это было RCE, но я не докрутил. Предлагаю ознакомиться!
CW: java, SpEL

Сходил к товарищам на подкастик
Может кому зайдет

⚡️🎙 Представляем 11-й выпуск подкаста «КапИБара» и опять с гостем!

В этот раз к нам на спич заглянул Всеволод Кокорин aka Slonser, автор блога "Заметки Слонсера". Поговорим про пентест, redteam, изучение кода, BugBounty, поиск RCE, репорт CVE и другие весёлые занятия белых хакеров.

Все аудио площадки где можно нас услышать - размещены здесь (на некоторых площадках подгрузка и стабильная работа осуществляется в течении 24-ёх часов).

Отдельно выделим наши флагманские площадки - Яндекс и Apple

+ появилась возможность слушать прямо в ТГ

Также в видео формате под приятную анимацию нас можно послушать на:

RuTube
YouTube
VK

Слушайте, оставляйте комментарии и советуйте друзьям 😁🎧

КапИБара. Подкаст нулевого дня. Подписаться

На неделе спросили раза 4 почему я юзаю Caido, а не Burp Suite
Выкатил ответ маленькой статьей на habr
https://habr.com/ru/articles/967644/

Осознал что не все подписаны на меня в соц сети Илона Маска, поэтому возможно буду дублировать сюда некоторые посты
На выходных нашел SQLi в PostgreSQL приложении. Обычно я не пишу про такие находки, но этот случай показался достаточно интересным.

Инъекция была path-based (/api/v2/.../INJECTION_POINT/...), и путь не url декодился. Пробелы, слеши, кавычки и скобки приводили к 400 Bad Request.

Придумал обход используя dollar-quoting синтаксис PostgreSQL:

$$0$$OR-0-$$0$$NOTNULL

Как PostgreSQL это парсит:
1. $$0$$ - dollar-quoted строка, автоматически каститься в integer
2. OR - логический оператор
3. -0-$$0$$ - арифметическое выражение
4. NOTNULL - проверка на null (вернет true)

Для этого payload нужны всего два не alphanumeric символа: $ и - (минус можно заменить на +).

Может быть полезно для обхода WAF (например, Cloudflare это не блокирует) или при похожих ограничениях на символы.

Очень крутой доклад с TROOPERS25
Такого хорошо собранного материала в одном месте по CSS атакам ещё не видел
https://www.youtube.com/watch?v=Owp-mHUyg9I

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
React UNAUTH RCE
CVSS 10
По патчу успел понять в чем проблема (PoC пока пишу)
Уже сейчас могу сказать что похоже действительно уязвимы прям стандартные версии
То есть разработчику не нужно даже написать стремный код / использовать конкретный модуль
Достаточно написать:

npx create-next-app

То есть имеем очень страшное RCE by default на миллионах сайтов
Реверсим патч и лутаем миллионы на багбаунти...

Пентест минцифры зашёл слишком далеко

Вот и подходит уже новый 2026 год. Так что пора подвести черту 2025 года, а так же подумать что нас ждёт в 2026 году. Букв много, можете просто прочитать послесловие)

[Выступления]
В этом году получил первый масштабный опыт выступления на международных конференциях, выступать в Японии и Корее оказалось не простым вызовом. Но обрадовала, что реакция публики была положительной - https://metamask.io/news/metamask-security-report-march-2025
Ну и по традиции повыступал где хватило времени в России. Пытаюсь слишком часто из дома не вылазить (Так как не хочу рассказывать одно и тоже по кругу, да и будет грустно если мое лицо публике наскучит)
Но до сих пор всегда рад прийти на чашечку чая (или чего покрепче) на коммьюнити конфы

[Движуха]
Не очень много участвую в "движе" российского ИБ сообщества, но иногда куда-то зовут.
Очень приятно всегда увидеть уже знакомые лица и ещё более приятно видеть новые лица - вы все лучшие)

Из того что запомнилось:
В Декабре было много мероприятий (сливать то бюджеты куда-то надо под конец года)
Попал на вечеринку Wildberries под новый год, хотя я сам не ханчу на ВБ - видно как ребята стараются улучшать свою программу и держать коннект с комьюнити, это золотого стоит. Можете подписаться на них и занести "CRITICAL SELF RCE" под бой курантов, чтобы не расслаблялись на дежурстве)

Так же в декабре попал на ивент на тинька, багов не особо не занес. По традиции занес 1 багу и забрал "Мамину радость" за лучшее ИИ оформление отчетов. Забавно что этот ивент вынудил меня сдать первый баг на стендоффе за год, но об этом позже. Так что любимый желтый банк не забываем, ребята как были солнышками так и остаются, ничего не меняется.

Ну и конечно отдельный респект ребятам из VK и бессменным царям их программы @s3n_q и @wellenc_lex. Кажется мало кто будет спорить если я скажу что из Российских компаний ВК сейчас больше всего вносит в сообщество, от VK Security Confab (где мне так же посчастливилось выступать) до кальянной зоны на ZeroNights. Короче уважаемый вклад в сообщество, подпишитесь если ещё не подписаны - t.me/vk_security

[ББ]
Глава краткая, если говорить кратко, то на российском ББ я почти ничего не репортил
Было пару репортов в Яндекс и MAX, в этом году преисполнился в использовании AI агентов и сейчас пытаюсь дооформлять свои наработки в цельный рабочий тулкит, чтобы багхантить руками не пришлось

AI остается с нами на всегда, даже на моих тестах он уже успешно зарабатывает деньги, так что даже самым большим скептикам рано или поздно придется внедрить в свои процессы. Думаю уже в 2026 поделюсь инсайдами по своим решениям.

Так же думаю в первой половине 2026 можете ожидать очень громкий ресерч от меня, на который я потратил очень много сил и которым очень горжусь)

[CTF]
Ну и конечно играл в CTF, в этом году мы выпали из мирового топа 10 цтфтайм (Хоть и остаемся топ 1 командой рф). Причин тому много, первая из них - мы играли много в коллабах, например так выиграли инсомнихак в Швейцарии и играли DEFCON в Вегасе. Вторая причина - CTF требует все же время, а у членов команды его остается все меньше и меньше

Несмотря на все это - CTF это до сих пор весело, позволяет кататься по разным странам, знакомиться с интересными людьми. CTF - это жизнь, играйте в CTF.

[Послесловие]
Вообщем спасибо всем, как обычно лучшее сообщество на земле!
Многое забыл, многих не упомянул, но не со зла, нет вайба писать пост дольше 15 минут)
С наступающим вас 2026 годом, да прибудет с вами Self-XSS)

А теперь уже точно всех с новым счастьем)
Следующий бокал поднимается за вас всех!

Немного на днях сгорело как же плоха работа с output MCP
Описал то что пришло в голову здесь
https://blog.slonser.info/posts/smugglle-ai-ouputs/