Skip to content

Latest commit

 

History

History
174 lines (173 loc) · 26.8 KB

TOPVKCOM.md

File metadata and controls

174 lines (173 loc) · 26.8 KB
Raw

Top reports from VK.com program at HackerOne:

  1. CVE-2018-0296 to VK.com - 80 upvotes, $1000
  2. Reflected XSS в /video to VK.com - 79 upvotes, $500
  3. local file disclosure via FFmpeg hls processing to VK.com - 76 upvotes, $1000
  4. Stored XSS в личных сообщениях to VK.com - 67 upvotes, $1500
  5. Определение id по номеру телефона to VK.com - 60 upvotes, $5000
  6. Path Traversal в iOS приложении to VK.com - 55 upvotes, $700
  7. Stealing Private Information in VK Android App through PlayerProxy Port Remotely to VK.com - 50 upvotes, $700
  8. XSS Reflected in m.vk.com to VK.com - 48 upvotes, $500
  9. XSS в сюжетах. to VK.com - 47 upvotes, $500
  10. Уязвимость в приложении для Android to VK.com - 46 upvotes, $3000
  11. Вставляем свой код в мобильном приложении в разделе помощи сообществам to VK.com - 44 upvotes, $300
  12. Clickjacking vkpay to VK.com - 44 upvotes, $0
  13. Выполнение API-методов при открытии сообщества/приложения to VK.com - 41 upvotes, $2000
  14. Bypass User Interaction to initiate a VoIP call to Another User to VK.com - 41 upvotes, $500
  15. Мини-уязвимость в обработке ссылок to VK.com - 41 upvotes, $500
  16. [VK Android] Access to app protected components leads to arbitrary code execution to VK.com - 39 upvotes, $1000
  17. XSS в upload.php to VK.com - 38 upvotes, $1500
  18. Reflected xss в m.vk.com/chatjoin to VK.com - 36 upvotes, $500
  19. Reflected Xss On https://vk.com/search to VK.com - 36 upvotes, $500
  20. Просмотр приватных видео записей у Пользователей to VK.com - 34 upvotes, $300
  21. Получение БД кэша из Android-приложения через стороннее приложение to VK.com - 32 upvotes, $500
  22. Stored XSS при удалении группы из беседы (m.vk.com) to VK.com - 32 upvotes, $500
  23. Возможность взлома любого пользователя, не использующего двухфакторной аутентификации, через получения кода восстановления на чужой номер. to VK.com - 31 upvotes, $2000
  24. XSS-уязвимость, связанная с загрузкой файлов to VK.com - 30 upvotes, $1000
  25. XSS в колбек апи в сообществах to VK.com - 29 upvotes, $500
  26. CSRF на загрузку аудиозаписей to VK.com - 28 upvotes, $100
  27. Доступ к администраторским faq to VK.com - 27 upvotes, $500
  28. Уязвимость в методе auth.restore to VK.com - 27 upvotes, $400
  29. XSS in vk.link to VK.com - 27 upvotes, $300
  30. Open Redirect и подмена ссылки в сниппете приложения VKMA to VK.com - 27 upvotes, $300
  31. Отправка подарков/стикерпаков не теряя голоса. to VK.com - 27 upvotes, $200
  32. Reflected XSS в /al_audio.php to VK.com - 24 upvotes, $700
  33. Просмотр закрытых фотографий to VK.com - 24 upvotes, $500
  34. XSS в личных сообщениях to VK.com - 23 upvotes, $1000
  35. Уязвимый класс WebView to VK.com - 23 upvotes, $200
  36. CSRF на установку своей почты к аккаунту. to VK.com - 22 upvotes, $0
  37. Смотрим фотографии из частных/закрытых групп. to VK.com - 21 upvotes, $500
  38. Reflected XSS в m.vk.com to VK.com - 21 upvotes, $500
  39. ПРОСМОТР ЛЮБЫХ ПРИВАТНЫХ ФОТО + ПРЕВЬЮ ЛЮБОГО ПРИВАТНОГО ВИДЕО. to VK.com - 20 upvotes, $700
  40. Просмотр любых записей на стене to VK.com - 20 upvotes, $700
  41. Обход 2ух-шаговой авторизации / 2FA Bypass to VK.com - 19 upvotes, $1000
  42. Reflected xss в m.vk.com/chatjoin to VK.com - 19 upvotes, $500
  43. Уязвимость дает возможность видеть записи , которые предлагаются пабликам + еще to VK.com - 19 upvotes, $300
  44. Stored xss в /lead_forms_app.php to VK.com - 18 upvotes, $500
  45. XSS в выборе товара. to VK.com - 18 upvotes, $500
  46. Получение чужого номера телефона (все цифры) через форму восстановления пароля to VK.com - 18 upvotes, $300
  47. Общий CSRF токен для сообщений сообществ, или как подставить соседа-редактора to VK.com - 18 upvotes, $300
  48. Open redirect в карусели сообщения бота to VK.com - 18 upvotes, $300
  49. Посмотреть видеоролики, которые пользователь когда-либо скидывал в ЛС. to VK.com - 18 upvotes, $100
  50. Member still able close another user poll on communities topic to VK.com - 18 upvotes, $100
  51. Хранимая XSS в группе VK to VK.com - 17 upvotes, $500
  52. Просмотр приложений любого пользователя / группы to VK.com - 17 upvotes, $500
  53. Получение вечного доступа к Long Pool и авторизованой страницы сайта, если мы когда-либо были на аккаунте жертвы to VK.com - 17 upvotes, $500
  54. Баг с оплатой подписки to VK.com - 17 upvotes, $300
  55. [Клевер/Android] Небезопасный BroadcastReceiver позволяет создавать окно диалога в приложении посредством другого неавторизованного приложения to VK.com - 17 upvotes, $200
  56. CSRF Проверить является ли пользователь админом группы. to VK.com - 17 upvotes, $100
  57. XSS в товарах to VK.com - 16 upvotes, $1000
  58. Blind XXE on pu.vk.com to VK.com - 16 upvotes, $500
  59. Проверяем принадлеженость email и номера телефона к определенному юзеру / CSRF на смену номера для некоторых пользователей to VK.com - 16 upvotes, $300
  60. Написать от имени любого пользователя на его стене, если он перейдет по ссылке. https://vk.com/al_video.php to VK.com - 16 upvotes, $200
  61. Получение стикеров to VK.com - 16 upvotes, $200
  62. Уязвимость дает возможность смотреть кто лайкал приватным фото или видео to VK.com - 16 upvotes, $100
  63. Open Redirection Vulnerability in m.vk.com to VK.com - 15 upvotes, $300
  64. Просмотр Участников ЧАСТНОЙ встречи to VK.com - 15 upvotes, $100
  65. Раскрытие названия частной группы через старый бокс просмотра фото. to VK.com - 15 upvotes, $100
  66. новенькое (старенькое upgreid) хакерство: делаем демократию во всем в контакте (XSS - на англиском) to VK.com - 15 upvotes, $0
  67. Второй способ обхода 2FA to VK.com - 14 upvotes, $1050
  68. XSS в приглашении в группу to VK.com - 14 upvotes, $500
  69. Бесконечный доступ к аккаунту если мы смогли хотя бы раз зайти на аккаунт. to VK.com - 14 upvotes, $500
  70. Missing Server Side Rate Limiting can Lead to VK Account Take over to VK.com - 14 upvotes, $400
  71. Просмотр аватарки замороженной страницы/частной группы. to VK.com - 14 upvotes, $300
  72. Злом (virus).. Смотрим кто голосовал в анонимном опросе!! to VK.com - 14 upvotes, $200
  73. Просмотр записей пользователя, который тебя заблокировал to VK.com - 14 upvotes, $100
  74. [m.vk.com] XSS на страницах /artist/ to VK.com - 13 upvotes, $500
  75. Отсутствие flood контроля в ИСТОРИЯХ вк to VK.com - 13 upvotes, $100
  76. Раскрытие информации о частной группе или приложении to VK.com - 13 upvotes, $100
  77. [Привязка email к странице] by [email protected] | email-flood to VK.com - 13 upvotes, $0
  78. Просмотр лайков и репостов фотографии, которая находятся в приватном альбоме to VK.com - 12 upvotes, $300
  79. Issue in the implementation of captcha and race condition to VK.com - 12 upvotes, $100
  80. CSRF в m.vk.com to VK.com - 12 upvotes, $100
  81. CSRF в виджетах to VK.com - 12 upvotes, $100
  82. XSS в обработчике ссылок to VK.com - 11 upvotes, $700
  83. XSS в названии звонка to VK.com - 11 upvotes, $500
  84. Opcode Cache to VK.com - 11 upvotes, $300
  85. Open redirect на мобильной версии в контакте (m.vk.com to VK.com - 11 upvotes, $300
  86. Получение предложенных фотографий паблику to VK.com - 11 upvotes, $200
  87. CSRF на сброс ключа трансляции. to VK.com - 11 upvotes, $100
  88. CSRF Добавить просмотр к записи без ведома пользователя. to VK.com - 11 upvotes, $100
  89. HTML Injection possible due to bad filter to VK.com - 11 upvotes, $0
  90. clickjacking в /lead_forms_app.php to VK.com - 11 upvotes, $0
  91. Page replacement and redirect loop to VK.com - 11 upvotes, $0
  92. Внедрение внешних сущностей в функционале импорта пользователей YouTrack to VK.com - 10 upvotes, $2500
  93. Хранимая XSS в функционале добавления аудио в WYSIWYG to VK.com - 10 upvotes, $500
  94. Backup Source Code Detected to VK.com - 10 upvotes, $500
  95. Отправка произвольных запросов к API с правами любого установленного у пользователя iframe/miniapp to VK.com - 10 upvotes, $500
  96. Узнаем несколько цифр номера телефона юзера (можно флудить смс), всего раз узнав его remixsid и его ид юзера, и установка оффлайна юзерам. to VK.com - 10 upvotes, $300
  97. Обход приватности у фотографий/документов to VK.com - 10 upvotes, $300
  98. Просмотр любых статей по их айди. to VK.com - 10 upvotes, $200
  99. Узнать название частной группы и ее аватарку по видеоролику. to VK.com - 10 upvotes, $100
  100. Просмотр аватара и название частной группы to VK.com - 10 upvotes, $100
  101. Отправляем смс на любой номер от имени vk.com. (Сообщение в смс всегда одно и то же, его менять нельзя.) to VK.com - 10 upvotes, $100
  102. XSS в названии сервера to VK.com - 10 upvotes, $0
  103. error to VK.com - 10 upvotes, $0
  104. CSRF в получении резервных токенов+framing , приводящие к компроментации 2fa to VK.com - 9 upvotes, $500
  105. Stored XSS в выборе метки на странице списка заказов. to VK.com - 9 upvotes, $500
  106. SSRF (open) - via GET request to VK.com - 9 upvotes, $300
  107. Просмотр любого видео из частной группы и кто загрузил to VK.com - 9 upvotes, $300
  108. Узнаем новые email приглашенного нами пользователя после смены, и так же часть номера телефона to VK.com - 9 upvotes, $300
  109. CSRF отредактировать карточки в посте у группы to VK.com - 9 upvotes, $100
  110. Часть админки доступна для всех пользователей to VK.com - 9 upvotes, $100
  111. Нет флуд-контроля на функции "Запрос денег" в VK Pay. Флуд уведомлениями и сообщениями пользователю, находящемуся в друзьях. to VK.com - 9 upvotes, $100
  112. Новый 2FA Bypass to VK.com - 8 upvotes, $1000
  113. Возможность провести DoS атаку от имени vk.com сервера to VK.com - 8 upvotes, $500
  114. Долгоживущий хеш + получение частичного доступа к аккаунту после сброса сессии to VK.com - 8 upvotes, $500
  115. Обходим 2FA и/или получаем access_token, если мы когда-либо были на аккаунте жертвы to VK.com - 8 upvotes, $300
  116. Просмотр аттачей удаленного сообщения..... to VK.com - 8 upvotes, $200
  117. Обход: "Аудиозапись недоступна для прослушивания в Вашем регионе." to VK.com - 8 upvotes, $100
  118. доступ к com.vk.usersstore.UsersContentProvider, возможна утечка exchange_token на android < 21 to VK.com - 8 upvotes, $100
  119. self-xss ads_easy_promote vk.com to VK.com - 8 upvotes, $0
  120. Уязвимость приватных записей пользователя (личных) to VK.com - 7 upvotes, $400
  121. Уязвимость получения всех номеров телефонов вк (по совместительству логинов профилей) to VK.com - 7 upvotes, $200
  122. Создание ссылки от имени чужой страницы vk.cc to VK.com - 7 upvotes, $200
  123. Возможность смотреть видео рекомендации любого пользователя вконтакте to VK.com - 7 upvotes, $100
  124. Нет маркера на добавление песни в плейлист пользователя to VK.com - 7 upvotes, $100
  125. Монипулирование на страницах пользоватлей значением "Подсказывать стикеры в полях ввода" to VK.com - 7 upvotes, $100
  126. Просмотр части номера телефона и отправка на него SMS, всего раз скомпроментировав аккаунт to VK.com - 7 upvotes, $100
  127. CSRF на "ловлю гостей" и раскрытие аудиотрансляции в частной группе to VK.com - 7 upvotes, $100
  128. XSS работающая по всему сайту, где есть упоминания to VK.com - 7 upvotes, $0
  129. Недочет в поиске по хештегам to VK.com - 7 upvotes, $0
  130. Воскрешение сессии после сброса сессий / смены пароля / принудительной смены пароля to VK.com - 6 upvotes, $700
  131. API: Bug in method auth.signup , дающий возможность бесконечно звонить to VK.com - 6 upvotes, $500
  132. XSS в комментариях от имени сообщества to VK.com - 6 upvotes, $500
  133. Уязвимость Создание фотографий без ведома пользователей to VK.com - 6 upvotes, $300
  134. api.vk.com отдаёт в ответ HTML авторизированную страницу vk.com to VK.com - 6 upvotes, $100
  135. Узнаем название и аватарку частной группы, по ID приложения. to VK.com - 6 upvotes, $100
  136. Обход фильтра на ссылки в загрузке историй.. to VK.com - 6 upvotes, $100
  137. Получаем название и аватарку (50x50) частной группы. to VK.com - 6 upvotes, $100
  138. Хранимая XSS на странице "Виджет для авторизации" to VK.com - 6 upvotes, $0
  139. Изменение текстов вариантов ответа в опросах to VK.com - 6 upvotes, $0
  140. CSRF создание опроса от имени пользователя, зная id приложения. + небольшой флуд сообщениями на стену to VK.com - 6 upvotes, $0
  141. Внедрение произвольного javascript-сценария в функционале просмотра изображений мобильной версии сайта to VK.com - 5 upvotes, $500
  142. Просмотр новых фотографии со стены частной/закрытой группы или закрытого профиля. to VK.com - 5 upvotes, $300
  143. Просмотр инфы на странице пользователя или группы который тебя добавил в ЧС to VK.com - 5 upvotes, $200
  144. Дорк to VK.com - 5 upvotes, $100
  145. Добавление в меню сообщества без ведома пользователя (нажатия пользователем) to VK.com - 5 upvotes, $100
  146. Раскрытие имени файла приватных документов to VK.com - 5 upvotes, $100
  147. Просмотр привязного к странице email, всего лишь раз скомпрометировав письмо-уведомление to VK.com - 5 upvotes, $100
  148. Просмотр удаленного сообщения из лс группы + возможность его переслать. to VK.com - 5 upvotes, $100
  149. DOM XSS в /activation.php?act=activate_mobile to VK.com - 5 upvotes, $0
  150. Способ узнать имя человека удаленной страницы to VK.com - 5 upvotes, $0
  151. Способ узнать имя человека удаленной страницы 2 to VK.com - 5 upvotes, $0
  152. Stored XSS вирус в al_video.php?act=a_choose_video_box to VK.com - 4 upvotes, $500
  153. vk.com/login.php to VK.com - 4 upvotes, $200
  154. Подмена SSL-сертификата для любой группы в секции Управление группой->Работа с API неавторизированным пользователем. to VK.com - 4 upvotes, $200
  155. [0.vk.com] Reflected XSS на странице подтверждения. to VK.com - 4 upvotes, $200
  156. Checking whether user liked the media or not even when you are blocked to VK.com - 4 upvotes, $100
  157. Дайте swag to VK.com - 4 upvotes, $0
  158. Stored XSS в m.vk.com/video to VK.com - 3 upvotes, $500
  159. SSRF через Share-ботов to VK.com - 3 upvotes, $300
  160. Логирование ответов запросов VK API в приложении Клевер to VK.com - 3 upvotes, $300
  161. Отвязываем Twitter от любого профиля вк ! + несколько багов по дизайну to VK.com - 3 upvotes, $250
  162. Able to intercept app Traffic after choosing up the Secured Connection using SSL (HTTPS) to VK.com - 3 upvotes, $100
  163. Делаем плейлист от любого(почти) пользователя/группы/артиста. to VK.com - 3 upvotes, $100
  164. Загружаем видеозаписи в основной альбом любой открытой группе/паблику. to VK.com - 2 upvotes, $300
  165. Уязвимость в Указание мест на фото + фича + хакинг to VK.com - 2 upvotes, $200
  166. Способ узнать имя человека и ВУЗ удаленной страницы to VK.com - 2 upvotes, $100
  167. Паблики: Модератор паблика может удалять добавленные редакторами материалы с таймером на публикацию. to VK.com - 2 upvotes, $100
  168. Information Disclosure (phpinfo()) to VK.com - 2 upvotes, $0
  169. API: Bug in method auth.validatePhone to VK.com - 1 upvotes, $500
  170. XSS at http://vk.com on IE using flash files to VK.com - 1 upvotes, $500
  171. Не достаточная проверка логина скайп to VK.com - 0 upvotes, $100
  172. XSS on added name album on videos. to VK.com - 0 upvotes, $0