Websecurity - Веб безпека

Раніше, 24.03.2013, я знайшов Information Leakage, Insufficient Authentication та Full path disclosure уразливості на сайті idea.privatbank.ua та 217.117.65.248 - це один сервер. В той час я вислав ці уразливості банку.

Information Leakage (WASC-13):

http://217.117.65.248/s3/monitoring/report/list
http://217.117.65.248/s3/monitoring/report/list.html

Витік інформації про звіти банку, що призначені не для всіх.

Insufficient Authentication (WASC-01):

Доступ до цього розділу на https://idea.privatbank.ua заборонений, але доступний на http://217.117.65.248 - якщо зайти на сайт по IP.

А також це стосується інших ресурсів, які на idea.privatbank.ua вимагають аутентифікації.

Full path disclosure (WASC-13):

http://217.117.65.248/s3/monitoring/report/list
http://217.117.65.248/s3/monitoring/report/list.html

Тут є витік повного шляху на сервері (чотирьох скриптів) та адреси в LAN, а також наявні ще інші дірки, про які напишу окремо.

ПриватБанк тоді проігнорував їх та не оплатив. Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на idea.privatbank.ua та інших сайтах ПБ.

This entry was posted on 23:54 30.08.2025 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.