#responsible_disclosure — Public Fediverse posts

Click to Pray: один if — и ты ошибся

Интернет приписывает Джейсону Стейтему фразу «Одна ошибка — и ты ошибся!». В случае этой истории она почему‑то сама собой переиначилась в вариант из заголовка. Уж очень всё оказалось из серии «никогда так не делай». 24 июля исследователь BobDaHacker опубликовал разбор Click to Pray — официального приложения Всемирной сети молитвы Папы Римского. В сервисе на тот момент было 719 517 зарегистрированных аккаунтов. У пользователей были последовательные числовые ID, а API позволяло запросить профиль по ID:

https://habr.com/ru/articles/1063726/

#нарочно_не_придумаешь #отправил_и_веруй #IDOR #BOLA #responsible_disclosure #API_security #Click_to_Pray #утечка_персональных_данных #Ватикан #одна_ошибка__и_ты_ошибся

Ah, the classic tale of a "billion-dollar" AI tool with the security of a wet paper bag. 🙄 Who knew lawyers could be so careless with *confidential* files? Just one email, and voilà, you're the admin now. 🤦‍♂️ Let's hear it for the "responsible" disclosure process that even a snail could outrun! 🐌🎉
https://alexschapiro.com/security/vulnerability/2025/12/02/filevine-api-100k #billiondollarAI #securitybreach #lawyerfail #confidentialfiles #responsible_disclosure #snailpace #HackerNews #ngated

Критическая уязвимость в камерах v380: Как plaintext credentials раскрывали миллионы устройств

В 2023 году, исследуя безопасность IoT устройств, я наткнулся на критическую уязвимость в одном из самых популярных брендов IP-камер в мире. Камеры v380 используются миллионами людей — в квартирах, офисах, магазинах, детских комнатах. Они доступны, просты в настройке и работают через удобное мобильное приложение. Проблема оказалась банальной и пугающей одновременно: учетные данные пользователей передавались по сети в открытом виде. Любой, кто знал ID камеры, мог подключиться к незащищенному relay-серверу, перехватить логин и пароль владельца, получить полный доступ к видеопотоку и даже транслировать заранее записанное видео вместо live feed — как в классических фильмах про ограбления. Эта статья — технический разбор уязвимости, детальный анализ кода эксплойта и история о том, как правильное раскрытие уязвимостей помогает делать IoT безопаснее.

https://habr.com/ru/articles/966644/

#v380 #уязвимость #IoT_безопасность #IP_камеры #reverse_engineering #plaintext_credentials #Python #ethical_hacking #responsible_disclosure #relay_серверы

Disclosing AI support is a big topic in the open source development community right now, and as #Dribdat now also has had a first PR with purely AI-generated code, I've started a discussion over on GitHub about it. Feel free to ping me your thoughts here as well. #generativecode #responsible_disclosure
https://github.com/orgs/dribdat/discussions/29

We Hacked Burger King: How Auth Bypass Led to Drive-Thru Audio Surveillance
https://bobdahacker.com/blog/rbi-hacked-drive-thrus/
#ycombinator #security_research #authentication_bypass #burger_king #tim_hortons #popeyes #restaurant_brands_international #rbi #graphql_vulnerabilities #aws_cognito #drive_thru_security #privacy_breach #voice_recordings #responsible_disclosure #api_security #privilege_escalation #retail_security #fast_food_tech

I hacked Monster Energy
https://bobdahacker.com/blog/monster-energy
#ycombinator #security #monster_energy #data_breach #vulnerability #corporate_secrets #api_security #clickup #employee_data #security_research #responsible_disclosure #corporate_negligence #energy_drinks

I Hacked Monster Energy and You Won't Believe What They Think You Look Like
https://bobdahacker.com/blog/monster-energy
#ycombinator #security #monster_energy #data_breach #vulnerability #corporate_secrets #api_security #clickup #employee_data #security_research #responsible_disclosure #corporate_negligence #energy_drinks

Belgium Is Unsafe for CVD
https://floort.net/posts/belgium-unsafe-for-cvd/
#ycombinator #Security #Responsible_Disclosure #Coordinated_Vulnerability_Disclosure #English

Many researchers are pseudonymous. That doesn’t justify ignoring their alerts:

A commentary inspired by Roomster's response -- or lack thereof -- to @JayeLTee's responsible disclosure alerts and my reporting on it all.

https://databreaches.net/2025/01/05/many-researchers-are-pseudonymous-that-doesnt-justify-ignoring-their-alerts/

#dataleak #incidentresponse #responsible_disclosure ##Roomster #pseudoanonymity

@zackwhittaker @bucketchallenge

Updating: It looks like @JayeLTee was able to make contact. Thanks to all who reached out to him with suggests!

--------------- previous message:
Helping each other:

Do I have any followers in Germany or who have German contacts to help with responsible disclosure affecting German fire departments? If so, please see @JayeLTee's post at https://infosec.exchange/deck/@JayeLTee/113345144131715346

#ExposedPII #Firefighters #responsible_disclosure