this crit was hilarious
found an endpoint returning user PII based on a userId. swapping it for another user's ID just returned my own PII.
removing the param gave a "user not found" error. every other endpoint returned 403 on ID swaps, so I got curious.
Thread...
poked at it, got nowhere, so i asked claude to test it.
5 seconds later: claude found the IDOR.
the catch? User-Agent.
with a typical browser UA, the server returns your own record. with curl's UA (which claude used), or no UA, it hands you anyone's PII.
Thread...
After months of duplicates, I finally got my first bounties this month. :D
Been using open-source AI models as a coworker throughout my hunting to speed things up and automate some of the boring stuff
Gotta love open source.
More are on the way.
Navid retweeted
اینترنت آزاد حق ماست
حقمان را میگیریم✌🏼
سلام
۲۹ دی ماه ساعت ۱۱ شب با هجوم بیش از ۲۰ مامور وزارت اطلاعات در خانه دستگیر شدم و به بند ۲۰۹ اوین بازداشتگاه وزارت اطلاعات منتقل شدم.
فردا در دادسرای ۳۳ مقدس با بیش از ۱۰ عنوان تفهیم اتهام شدم.
از همهی شما که صدای من بودید سپاسگزارم.
۱
کلاس OWASP یاشار از همه لحاظ (فنی و مایندستی) Game changer بود، بهترین دوره ای بود که تا الان گذروندم مطمئنم هانت قراره تجربه خیلی بهتری باشه و کلی قراره خوش بگذره، امیدوارم بتونم حداکثر استفاده رو کنم.
Cant wait :D
خب بریم برای کلاس هانت guts که خیلی براش زحمت کشیدیم، کلاس سختیه و سالی یبار برگزار میشه. حتما کلیپ معرفی رو ببینین کامل، نظرات شاگردای دورههای قبلی هم بخونین کمککنندس، امیدوارم کلاس خوبی داشته باشیم، سی یو
voorivex.academy/class/
حدودا چهارماهه که شروع کردم امنیتو و خوندن پیشنیاز ها و مبانی، خوشحالم که تونستم چلنجو تا اینجا حل کنم و کلی بهم خوش گذشت
دم یاشار و تیمش گرم
میدونم که owap new zero هم قراره بمب باشه.
پیکار Zodiac رفت بالا، اگه تو امنیت «صفر مطلقین» کافیه پیکار رو باز کنین، دفترچه راهنما رو دانلود کنین و مرحله به مرحله جلو برین و کلی چیز یاد بگیرین. محوریت پیکار کاملا آموزشیه و سعی کردیم مفاهیم امنیت رو به سادهترین شکل ممکن طراحی کنیم:
z.voorivex.academy








