Исследование CVE

Мой конвейер: от исследования до CVE

Исследователь: Steven Amador

Псевдоним и ник: HackinKraken

Обязательно подписывайтесь, если хотите оставаться в курсе. Я намерен продолжать искать и совершенствовать свои навыки.

Более подробные отчёты доступны на моём сайте: https://hackinkraken.com

CVE-2022-2650 — Некорректное ограничение чрезмерных попыток аутентификации в GitHub-репозитории wger-project/wger до версии 2.2

Я наткнулся на wger — приложение для тренировок, у которого был демонстрационный сайт и которое допускало автономную установку. Я обнаружил, что приложение не блокирует брутфорс-атаки на странице входа. Очень просто, очень прямолинейно. Это привело к моей первой CVE: CVE-2022-2650.

CVE-2026-39338 — Blind XSS в глобальном поиске ChurchCRM (текущая)

Недавно я решил направить свои исследования, что привело к моей второй CVE: CVE-2026-39338. На этот раз это была уязвимость Blind XSS в строке поиска, где JS выполнялся в бэкенде, несмотря на ошибку на фронтенде, что позволило мне экфильтровать действительные сессионные cookie на «удалённый» слушатель.

Ниже вы можете прочитать официальные сведения о каждой CVE.