Zeroc00i News & Tricks

XSS like you’ve never seen before https://www.youtube.com/watch?v=RLyhPGsEMz4&ab_channel=PwnFunction

O narrador desse vídeo é o MatanBer, entrevistado pelo CriticalThinking nesse episódio muito interessante também:
https://www.youtube.com/watch?v=ziP4cx_cbg8&t=181s

YouTube

Attacking Chrome Extensions with MatanBer - Big Impact on the Client-Side (Ep. 95)

Episode 95: In this episode of Critical Thinking - Bug Bounty Podcast In this episode, Justin is joined by MatanBer to delve into the intricacies of browser extensions. We talk about the structure and threat models, and cover things like service workers,…

Google lançou o Chrome 137.
Ele corrige 3 falhas, incluindo uma zero-day crítica (CVE-2025-5419) que já está sendo explorada ativamente.
A brecha está no motor V8 JavaScript e pode permitir execução remota de código.
Atualize seu navegador urgentemente para se proteger!
Versão: 137.0.7151.68/.69 (Win/Mac), 137.0.7151.68 (Linux).

https://www.securityweek.com/google-researchers-find-new-chrome-zero-day/

Ainda não temos maiores detalhes de como foi explorado, mas according to a NIST advisory, the exploited zero-day “allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page”.

SecurityWeek

Google Researchers Find New Chrome Zero-Day

Reported by the Google Threat Analysis Group, the vulnerability might have been exploited by commercial spyware.

Para quem está começando em bugbounty, ou tenta fazer e nunca encontra algo, eu tô criando um repositório sem muita enrolação de alguns aprendizados que fui tendo ao longo dos tempos. Não tem nada técnico, ou coisas do tipo "execute x ferramenta que é melhor / mais rápido", etc. Por quê na minha visão a questão é justamente essa: Pra se destacar, tu tem que encontrar tua própria metodologia:

https://github.com/zeroc00I/how_to_approach_bugbounty

GitHub

GitHub - zeroc00I/how_to_approach_bugbounty

Contribute to zeroc00I/how_to_approach_bugbounty development by creating an account on GitHub.

(Não precisa criar conta nem se autenticar)
𝗣𝗲𝗻𝘁𝗲𝘀𝘁 𝗚𝗿𝗼𝘂𝗻𝗱 - 𝗔 𝗙𝗿𝗲𝗲 𝗣𝗹𝗮𝘆𝗴𝗿𝗼𝘂𝗻𝗱 𝗳𝗼𝗿 𝗛𝗮𝗰𝗸𝗲𝗿𝘀 & 𝗟𝗲𝗮𝗿𝗻𝗲𝗿𝘀!
Pentest Ground is a free platform featuring a deliberately vulnerable web application and network services - ideal for practicing real-world exploitation techniques.
🔗 https://pentest-ground.com

Autor original do post (Pethuraj M): https://www.linkedin.com/posts/pethu_cybersecurity-bugbounty-pentesting-activity-7332838406281973760-UQYC

Vou ter que ler melhor esse post amanhã. Sem cabeça pra ler uma parada dessas essa hora. Talvez eu poste aqui algo + mastigado

Sim, isso é um self-xss, mas para demonstrar que o evento de fato funciona e é frequente (nesse caso foi roubado pq foi meu adblock, mas poderiam ter outros fatores que trigariam, como o CSP mesmo rsrs)

Part 3/3

Dando uma sacada na intenção dele quando foi implementado para entender qual a intenção ele visava atender, confirmou o cenário que o próprio nome resume: Quando tiver violações de CSP na página, o evento é "trigado"/hookado.

1. Acredito existir dois cenários aqui:
Ou a PortSwigger não atualiza a lista de payloads conforme existem atualizações dos navegadores, trazendo novos eventos (o que acho improvável)
2. Ou eles não colocam alguns eventos pois dependem do contexto.

E esse segundo cenário me chama muito a atenção: Se um evento não está sendo largamente conhecido, talvez as chances do WAF detectá-lo como algo nocivo sejam menores. Outra questão é que não é raro vermos violações de CSP por descuido dos desenvolvedores. Fica uma anotação pessoal registrada para testar num cenário futuro.

Part 2/3

Fiz um diff entre os listeners da Portswigger e do navegador e encontrei alguns outros, entre eles o onsecuritypolicyviolation

Part 1/3
Tópico: bypass de XSS

Eu tava dando uma comparada aqui de curiosidade entre os listeners disponibilizados pela Portswigger, página muito usada pra construção de bypass pra waf (aqueles cenarios quando onerror, onload não são o suficiente por que tem um Akamai vendo qualquer palavra nociva) e reconheci uma parada:

Que talvez o mais eficiente seria pegar os listeners que o navegador já possui por default, o que nos daria uma lista mais atualizada, no mínimo.

Embora eu não concorde com esse termo "Reformed blackhat" que o autor usa em sua headline, que me soa bem holywoodiano, o texto publicado é interessante. Segue:

O termo "dupla extorsão" faz com que as gangues de ransomware pareçam inovadoras, mas, na realidade, é uma escalada básica: "Você não vai pagar para recuperar seus dados? Tudo bem, pague para que não os vazemos."

Não é um salto à frente, é o que os extorsionários sempre fizeram. A única razão pela qual parece novo é que enquadramos o ransomware de forma muito restrita durante anos, ignorando que a maior parte dele sempre foi sobre escalação, não criptografia.

86%

Sim, já fui =)

14%

Não, mas ainda quero ir

A request vai parecer com essa:

Parece ser em um parametro _from no upload de arquivos
[+]https://github.com/roundcube/roundcubemail/commit/7408f31379666124a39f9cb1018f62bc5e2dc695

Zeroc00i News & Tricks

Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization | CVE-2025-48745 Kirill Firsov discovered a Post-authentication RCE in Roundcube Webmail (v1.1.0 till current 1.6.10) that has existed unnoticed for 10 years, and which affects over 53 Million…

Quem ficou curioso sobre a POC, eu tava dando uma olhada nas referências da CVE e provavelmente o número dela vai ser CVE-2025-49113 na verdade.

Esse site fala mais a fundo a origem da vala do CVE-2025-49113:

https://threatsbank.com/critical-roundcube-vulnerability-enables-remote-code-execution-via-deserialization-flaw/

Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization | CVE-2025-48745

Kirill Firsov discovered a Post-authentication RCE in Roundcube Webmail (v1.1.0 till current 1.6.10) that has existed unnoticed for 10 years, and which affects over 53 Million hosts (and tools like cPanel, Plesk, ISPConfig, DirectAdmin, etc.).

POC is not available yet.

[+] https://fearsoff.org/research/roundcube

https://www.youtube.com/watch?v=TBkTbMJWHJY

YouTube

Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization [CVE-2025-49113] PoC demonstration

Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization.
There may be some confusion, as MITRE, for some reason, published a second CVE-2025-49113 for the same bug - after CVE-2025-48745, which I submitted long ago. Now it's CVE-2025-49113 #cve #roundcube…

Manja de hardware hacking?
A meta está convidando pro programa de bugbounty deles através de um formulário pra testar o Meta Quest, dispositivo de realidade virtual

https://docs.google.com/forms/d/e/1FAIpQLSeBA40zlAaEg2TF1-WMUBZkA0791NDZlLSrev1qGKHdygUGPw/viewform?pli=1

Post original: https://www.linkedin.com/posts/samuel-cohen-817896198_meta-bug-bounty-is-looking-for-experienced-activity-7334178923246743553-6ls8

Você não precisa de um carro para hackear (Car hacking): uma empresa fornece aos pesquisadores acesso remoto a equipamentos automotivos para pesquisa de vulnerabilidades.

A empresa é essa: https://ssd-labs.com/

E essa solução foi apresentada na TyphoonCon 2025 (May 26-30, 2025 in Seoul, South Korea). Existe um formulário de cadastro p/ acesso à esse recurso no site dessa empresa, para os interessados.

https://x.com/SecuriTeam_SSD/status/1927650973054341592

https://www.linkedin.com/posts/dlaskov_automotive-hacking-contest-activity-7334624976899080193-hQ9W