desaivinayak449/bug-bounty-reports-desai-vinayakتقارير مكافآت الأخطاء وبحوث الثغرات من ديساي فيناياك — تتضمن CVE-2023-50290 (Apache Solr) ونتائج الاستيلاء على النطاق الفرعي لـ Zscaler.
🔒 تقارير صيد الثغرات وأبحاث الثغرات الأمنية بواسطة ديساي فيناياك.
يجمع هذا المستودع تقارير سلبية غير مدمرة عن الثغرات والأدلة الداعمة للكشف المنسق وتتبع المعالجة.
📂 reports/ — ملفات PDF و DOCX والأدلة لكل تقرير:
Bug_Bounty_Report_Desai_Vinayak_CVE-2023-50290.pdf — كشف معلومات واجهة برمجة تطبيقات مقاييس Apache Solr (CVE-2023-50290).zscaler_bugbounty_report.pdf — نتائج استيلاء محتمل على نطاقات فرعية مختارة لـ zscaler.com.CVE-2023-50290_summary.md — ملخص Markdown لتقرير Solr.zscaler_subdomain_takeover_summary.md — ملخص Markdown لنتائج Zscaler.🧾 ملفات أخرى
CONTRIBUTING.md — إرشادات لفرق الفرز والبائعين.DISCLOSURE_POLICY.md — توقعات الكشف المنسق.ISSUE_TEMPLATE.md — قالب لفتح قضايا المعالجة/التتبع..github/workflows/ — أماكن حجز CI.PUBLISH.md — تعليمات النشر السريع.يحتوي هذا المستودع حاليًا على تقريرين رئيسيين تم إنتاجهما عبر الاستطلاع السلبي:
يمكن لواجهة برمجة تطبيقات مقاييس Solr كشف تفاصيل البيئة والتكوين التي قد تسرب معلومات حساسة.
📄 انظر ملف PDF Solr والملخص في /reports.
تحل العديد من النطاقات الفرعية zscaler.com إلى مضيفين تابعين لجهات خارجية يعرضون صفحات موفر غير مهيأة/خطأ (مثل AWS ELB، Acquia، UptimeRobot).
قد تكون عرضة للاستيلاء إذا لم يتم توفيرها.
📄 انظر ملف PDF Zscaler والملخص في /reports.
🧷 جميع عمليات المسح وجمع الأدلة كانت سلبية وغير مدمرة:
عمليات بحث DNS، فحوصات شهادة الشفافية، رؤوس HTTP، والتقاط محتوى غير تدخلي.
لا بيانات اعتماد، ولا طلبات POST، ولا استغلال تم.
👩💻 البائعون / فرق الفرز
ISSUE_TEMPLATE.md./reports/.🧑🔬 باحثون خارجيون
DISCLOSURE_POLICY.md) قبل النشر أو مشاركة النتائج.✅ إزالة أو إصلاح سجلات CNAME غير المستخدمة التي تشير إلى خدمات جهات خارجية.
✅ تكوين النطاقات المخصصة بشكل صحيح على لوحات تحكم المزود للخدمات قيد الاستخدام.
✅ تقييد الوصول إلى نقاط النهاية الإدارية الحساسة (مثل Solr /admin/metrics) وطلب المصادقة.
✅ تدوير أي أسرار قد تكون تعرضت من خلال التكوين أو متغيرات البيئة.
✅ تنفيذ مراقبة DNS وتنبيهات لسجلات CNAME الخارجية غير المتوقعة أو تغييرات سجل الشفافية.
📎 تم تضمين خطوات المعالجة التفصيلية في كل تقرير.
المبلغ: ديساي فيناياك
📧 البريد الإلكتروني: [email protected]
يرجى تأكيد الاستلام وتقديم جدول زمني للمعالجة عند فتح المشكلات أو الاتصال بالمبلغ.
يُطلب الكشف المنسق — يجب تأخير الكشف العام حتى اكتمال المعالجة (انظر DISCLOSURE_POLICY.md).
🪪 يتم توزيع هذا المستودع بموجب رخصة MIT.
انظر LICENSE للشروط الكاملة.