CVE-Research

Mi flujo de investigación a CVE

Investigador: Steven Amador

Alias y usuario: HackinKraken

Asegúrate de seguirme si quieres mantenerte al día. Tengo la intención de seguir investigando y mejorando mis habilidades.

Tengo más informes narrativos disponibles en mi sitio web: https://hackinkraken.com

CVE-2022-2650 — Restricción inadecuada de intentos de autenticación excesivos en el repositorio de GitHub wger-project/wger anterior a la versión 2.2

Me encontré con wger, una aplicación de entrenamiento que tenía un sitio de demostración y permitía la instalación independiente. Descubrí que la aplicación no bloqueaba los ataques de fuerza bruta contra la página de inicio de sesión. Muy simple, muy directo. Esto me llevó a mi primer CVE: CVE-2022-2650.

CVE-2026-39338 — XSS ciego en la búsqueda global de ChurchCRM (Actual)

Recientemente decidí canalizar mi estudio, lo que me llevó a mi segundo CVE: CVE-2026-39338. Esta vez fue una vulnerabilidad de XSS ciego en una barra de búsqueda donde el JS se ejecutó en el backend a pesar de recibir un error en el frontend, lo que me llevó a exfiltrar cookies de sesión válidas a un listener "remoto".

Puedes leer los detalles oficiales de cada CVE a continuación.