[+]https://github.com/roundcube/roundcubemail/commit/7408f31379666124a39f9cb1018f62bc5e2dc695
Esse site fala mais a fundo a origem da vala do CVE-2025-49113:
https://threatsbank.com/critical-roundcube-vulnerability-enables-remote-code-execution-via-deserialization-flaw/
Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization | CVE-2025-48745
Kirill Firsov discovered a Post-authentication RCE in Roundcube Webmail (v1.1.0 till current 1.6.10) that has existed unnoticed for 10 years, and which affects over 53 Million hosts (and tools like cPanel, Plesk, ISPConfig, DirectAdmin, etc.).
POC is not available yet.
[+] https://fearsoff.org/research/roundcube
https://www.youtube.com/watch?v=TBkTbMJWHJY
Kirill Firsov discovered a Post-authentication RCE in Roundcube Webmail (v1.1.0 till current 1.6.10) that has existed unnoticed for 10 years, and which affects over 53 Million hosts (and tools like cPanel, Plesk, ISPConfig, DirectAdmin, etc.).
POC is not available yet.
[+] https://fearsoff.org/research/roundcube
https://www.youtube.com/watch?v=TBkTbMJWHJY
A meta está convidando pro programa de bugbounty deles através de um formulário pra testar o Meta Quest, dispositivo de realidade virtual
https://docs.google.com/forms/d/e/1FAIpQLSeBA40zlAaEg2TF1-WMUBZkA0791NDZlLSrev1qGKHdygUGPw/viewform?pli=1
Post original: https://www.linkedin.com/posts/samuel-cohen-817896198_meta-bug-bounty-is-looking-for-experienced-activity-7334178923246743553-6ls8
A empresa é essa: https://ssd-labs.com/
E essa solução foi apresentada na TyphoonCon 2025 (May 26-30, 2025 in Seoul, South Korea). Existe um formulário de cadastro p/ acesso à esse recurso no site dessa empresa, para os interessados.
https://x.com/SecuriTeam_SSD/status/1927650973054341592
https://www.linkedin.com/posts/dlaskov_automotive-hacking-contest-activity-7334624976899080193-hQ9W
Fonte: https://cybersecuritynews.com/deloitte-data-breach/
Dados seriam anonimizados. Mas o Discord alegou violação dos seus termos, mesmo sendo uma API oficial e dados públicos.
Um especialista considerou a coleta legítima.
Isso questiona: se uma API expõe dados públicos, pesquisadores podem usá-la?
Qual sua visão sobre a postura do Discord diante dessa prática comum entre desenvolvedores e pesquisadores?
Compartilha o que tu pensa no post que fiz no linkedin!
Post: https://www.linkedin.com/posts/activity-7333929352063062016-y4Eg
Fonte: https://olhardigital.com.br/2025/05/26/seguranca/pesquisa-coleta-bilhoes-de-mensagens-no-discord-e-plataforma-alega-violacao/
404 on /get_all_userz
Then Rhynorater fuzzed until a double-encoded “S” slipped past the NGINX filter.
✅ 200 on /get_all_user%2573
Result: 4.5M users' PII dumped.
Bounty: $15K–$20K
Quando eu falo que existe uma leva cada vez maior de gente tendo acesso a credenciais vazadas e usando isso em seu benefício, eu to falando real.
Um exemplo agora no telegram. Fiz um link para a conversa.
Um exemplo agora no telegram. Fiz um link para a conversa.
A galera que escreveu errado "será virtual no dia 14 de março às 10 horas"
É dia 14 de junho mesmo
* Obrigado por notar e avisar, Marcio! *
É dia 14 de junho mesmo
* Obrigado por notar e avisar, Marcio! *
🚀Convidamos você a participar do Mercado Livre Hacking Event Brazil 2025! Esse evento emocionante ocorrerá de 14 a 23 de junho.
📅A abertura será virtual no dia 14 de março às 10 horas (GMT -3) e será transmitida ao vivo para todos aqueles que desejarem participar - você não pode perder!
✨Durante a abertura, teremos várias palestras da nossa equipe de segurança MELI, bem como um novo escopo especial deste evento!
Ao se registrar, você poderá desfrutar de:
🎯 Escopo ampliado e novos ativos.
🎲 Promoções e desafios exclusivos
💰Mesas de recompensas especiais
🎁Prêmios incríveis e muito mais!
⚠️ Não se esqueça de que as inscrições se encerram em 23 de junho e haverá uma tabela de classificação ao vivo, triagem e perguntas e respostas até a data de encerramento virtual!
📝 Registre-se 👉https://forms.gle/T3h9Dnch4SnBqwaHA
Você pode assistir aqui:
https://www.youtube.com/watch?v=tEfjSs4fq8M
https://willbank.inhire.app/vagas/59c22d41-00d7-478e-a893-26e397710bab/senior-software-engineer-cyber-security
Não? Tá bem, você não tem a obrigação mesmo de saber. Alguns feitos dele:
1 - HTTP Request Smuggling: Revitalizou a técnica, expondo seu vasto impacto moderno.
2 - Web Cache Poisoning: Criou métodos avançados para envenenar caches em larga escala.
3- Server-Side Template Injection (SSTI): Pioneiro na exploração, demonstrando seu risco de RCE (Execução Remota de Código).
4 - Criador do Turbo intruder e Diretor de pesquisa da http://www.portswigger.net (empresa do Burp Suite)
Passando aqui pra dizer que ele fez um AMA (Ask Me Anything) e publicou a gravação recentemente:
https://www.youtube.com/watch?v=mgmUZ9odkvU&ab_channel=PortSwigger
