CVE-Research

La Mia Pipeline dalla Ricerca alla CVE

Ricercatore: Steven Amador

Alias e Handle: HackinKraken

Assicurati di seguirmi se vuoi rimanere aggiornato. Intendo continuare a cercare e migliorare le mie competenze.

Ho altri resoconti narrativi disponibili sul mio sito web: https://hackinkraken.com

CVE-2022-2650 — Restrizione Impropria dei Tentativi di Autenticazione Eccessivi nel repository GitHub wger-project/wger precedente alla 2.2

Mi sono imbattuto in wger, un'applicazione per allenamenti che aveva un sito demo e consentiva l'installazione standalone. Ho scoperto che l'applicazione non bloccava gli attacchi di forza bruta contro la pagina di login. Molto semplice, molto lineare. Questo mi ha portato alla mia prima CVE: CVE-2022-2650.

CVE-2026-39338 — XSS Cieco nella Ricerca Globale di ChurchCRM (Attuale)

Recentemente ho deciso di incanalare i miei studi, il che mi ha portato alla mia seconda CVE: CVE-2026-39338. Questa volta si trattava di una vulnerabilità Blind XSS in una barra di ricerca in cui il JS veniva eseguito nel backend nonostante un errore ricevuto sul frontend, portandomi a esfiltrare cookie di sessione validi verso un listener "remoto".

Puoi leggere i dettagli ufficiali di ciascuna CVE qui sotto.