Телеграмм чат группы linkmeup

GitLab disclosed on HackerOne: Arbitrary file read via the...

11:36пожаловаться #1

NK

ID:0 in linkmeup_chat

Найденный совершенно не вчера баг, но выданные за него 20к$ получены абсолютно заслуженно: через гитлаб можно было получить доступ до любого файла на хосте.
Обновитесь там, что ли, а то может не очень смешно получиться...
https://hackerone.com/reports/827052

HackerOne

### Summary
The `UploadsRewriter` does not validate the file name, allowing arbitrary files to be copied via directory traversal when moving an issue to a new project.

The pattern used to look for...

13:00пожаловаться #2

D

Dmitry (DAY) Ershov

Душевная 65 называется Huawei CE12800

не, там чот про евпн в спеке написано и еще какую-то молодежную чушь

13:11пожаловаться #3

D

виланы и пвст+ это душа нетворкинга начала 00ых

13:12пожаловаться #4

C

GitLab disclosed on HackerOne: Arbitrary file read via the...

ID:0

Найденный совершенно не вчера баг, но выданные за него 20к$ получены абсолютно заслуженно: через гитлаб можно было получить доступ до любого файла на хосте.
Обновитесь там, что ли, а то может не очень смешно получиться...
https://hackerone.com/reports/827052

HackerOne

### Summary
The `UploadsRewriter` does not validate the file name, allowing arbitrary files to be copied via directory traversal when moving an issue to a new project.

The pattern used to look for...

Неплохо так $20 000 , похоже я не тем занимаюсь😞

13:19пожаловаться #5

ИZ

Илья Z in linkmeup_chat

Constantine

Неплохо так $20 000 , похоже я не тем занимаюсь😞

ну на дошик хватит. вряд ли найдет за год что-то такое же

13:24пожаловаться #6

C

https://twitter.com/engineers_feed/status/1282904614132690944

Twitter

World of Engineering

The bike eater https://t.co/Yxy8aiQUZJ

13:39пожаловаться #7

C

Илья Z

ну на дошик хватит. вряд ли найдет за год что-то такое же

Вот чуваку Microsoft не заплатили, скоро он выложит все найденные им уязвимости.
https://threadreaderapp.com/thread/1282945750746509313.html
У чувака из-за того, что майки зажали денег жизнь под откос пошла😞

15:05пожаловаться #8

D

Constantine

Вот чуваку Microsoft не заплатили, скоро он выложит все найденные им уязвимости.
https://threadreaderapp.com/thread/1282945750746509313.html
У чувака из-за того, что майки зажали денег жизнь под откос пошла😞

ну он сам лах

15:06пожаловаться #9

D

зачем 7 месяцев ждать?

15:06пожаловаться #10

D

давно бы опубликовал уязвимость или продал каким друхи ксакепам

15:07пожаловаться #11

D

и закрыл вопрос

15:07пожаловаться #12

N

Constantine

Вот чуваку Microsoft не заплатили, скоро он выложит все найденные им уязвимости.
https://threadreaderapp.com/thread/1282945750746509313.html
У чувака из-за того, что майки зажали денег жизнь под откос пошла😞

в смысле премию?

15:08пожаловаться #13

C

Nullius in verba

в смысле премию?

15:09пожаловаться #14

N

блин смешные угрозы)

15:10пожаловаться #15

N

чувак пойдет за решетку, а уязвимости закроют - вот все чем это окончится

15:10пожаловаться #16

D

ну конечно публично угрожать та еще затея

15:13пожаловаться #17

N

Ну мне кажется это тот случай, когда человек идет на серьезный шаг и "не подумал" как следует о последствиях.
Если есть какая-то эмоциональная составляющая у серьезного решения, его лучше отложить и подумать, что за это может грозить...

15:22пожаловаться #18

Y

Yacudzer in linkmeup_chat

Nullius in verba

Ну мне кажется это тот случай, когда человек идет на серьезный шаг и "не подумал" как следует о последствиях.
Если есть какая-то эмоциональная составляющая у серьезного решения, его лучше отложить и подумать, что за это может грозить...

Можно же анонимно выложить

15:46пожаловаться #19

D

Yacudzer

Можно же анонимно выложить

надо другую уязвимость выкладывать