Даров, бага прикольная, классика. Насчет раздутия хз до админки вряд ли, но если в соцсетке есть загрузка файлов через API можно попробовать искать RCE уже от лица взятого аккаунта, это отдельная тема. Вафлю если включат меняй тайминги, юзер-агента под мобилку крути, может ендпоинт другой найти с той же дыркой. Главное не светись сейчас, раз сабмитил. Жди баунти должен прилететь норм. По итогу отпишись.

Запись от: @hight_power

↑

Дарова)) нашел багу в одной из топ соцсетей
Ловить сессию левого юзера можно без пароля и смс
Апиха на мобилках гонит левые токены если подкрутить кое какие параметры

Работает так
Берешь рефреш токен жертвы любого левого способа не важно
Кидаешь в апишку обновления но меняешь айди юзера
Сервер тупо выдает новый access токен уже на чужой аккаунт
И все ты в него зашел

Фишка в том что проверки на принадлежность токена и айди нет вообще
Сам в шоке что до сих пор живет

Уже засабмитил в багбаунти жду ответа
На проде работает почти везде

Кто шарит подскажите
Можно ли это дальше раздуть например до админки или там RCE
И как обходить вафлю когда начнут детектить

Не выкладываю полный эксплойт пока не пофиксят
Использовать не советую ибо быстро приедут

Пишите идеи

Привет, еще актуально? Написал тебе в лс, ответь пж.

Пофиксили уже)) Но спс + тебе))