• 09-03-2026, 13:29:35
    #1
    Selamlar Geçen Gün Bir Bug Bounty Platformunda Bulduğum Güvenlik Açığını Paylaşacağım.
    Açık Türü: IDOR

    video

    Literatürde Bu Bir IDOR Açğıdır Ama Program Sahipleri Keyfine Göre ve Para Vermek İstemediği İçin Red Verdiler. Kaç Yıllık Emeklerimiz Saatlerimiz Boşa Gidiyor.
  • 09-03-2026, 13:35:09
    #2
    Video herkese açık değil hocam
  • 09-03-2026, 13:37:37
    #3
    sanalyus adlı üyeden alıntı: mesajı görüntüle
    Video herkese açık değil hocam
    düzelttim
  • 29-04-2026, 19:18:13
    #4
    pek keyfe göre değil gibi gördüğüm kadarı ile random bir değere sahip ve muhtemelen apide istek sınırı var eğer 1 2 3 4 5 6 gibi id ile kullancı bilgileri alınsaydı idor ola bilirdi ama bence bu bi idor değil
  • 29-04-2026, 23:16:16
    #5
    websec adlı üyeden alıntı: mesajı görüntüle
    pek keyfe göre değil gibi gördüğüm kadarı ile random bir değere sahip ve muhtemelen apide istek sınırı var eğer 1 2 3 4 5 6 gibi id ile kullancı bilgileri alınsaydı idor ola bilirdi ama bence bu bi idor değil
    illa sıralı gitmesine veya apaçık tahmin edilebilir bir değer olmasına gerek yok hocam sonuçta eksik bir durrum var ve buda belli. youtubede idor poc videolarına bakarsanız bir çok böyle durum görebilirsiniz istek sınırını görmedim ben ve red sebebi kritik bilgi içermemesi açık var ama içerik yüzünden red yedi bu bir açık değil veya idor değil gibi bir cevap almadım ztn bu alanda ilerliyorsanız idorun id nin yapısının değil Authorization eksikliği olduğunu bilirsiniz
  • 30-04-2026, 14:16:56
    #6
    meksec adlı üyeden alıntı: mesajı görüntüle
    illa sıralı gitmesine veya apaçık tahmin edilebilir bir değer olmasına gerek yok hocam sonuçta eksik bir durrum var ve buda belli. youtubede idor poc videolarına bakarsanız bir çok böyle durum görebilirsiniz istek sınırını görmedim ben ve red sebebi kritik bilgi içermemesi açık var ama içerik yüzünden red yedi bu bir açık değil veya idor değil gibi bir cevap almadım ztn bu alanda ilerliyorsanız idorun id nin yapısının değil Authorization eksikliği olduğunu bilirsiniz
    eğer dediğin gibi olsa telegram da da idor var o zaman çünkü telegram botları botid:randomtoken olarak üretiliyor telegrama bunu bildirirsen yine red alıcak
  • 30-04-2026, 14:39:15
    #7
    websec adlı üyeden alıntı: mesajı görüntüle
    eğer dediğin gibi olsa telegram da da idor var o zaman çünkü telegram botları botid:randomtoken olarak üretiliyor telegrama bunu bildirirsen yine red alıcak
    hocam üretmeyle ne alakası var üretir ama authorization kontrolu adam akıllıdır random üretiyor diye idor olacak diye bir şey mi var veyahut response olarak public bir veri dönüyordur bu şekil ise idor sayılmaz mesela 1 ay önce falan trustpilot tan private invite geldi yine bu şekil bir deneme yaptım başka şirketin verileri geldi ama gelen veri public olduğu için idor sayılmaz