​🧩 Payloads Collection.

🖖🏻 Приветствую тебя user_name.

💬 Сегодня я представляю тебе подборку ресурсов в которых собраны: инструменты, литература, payload'ы, видеоуроки, способы эксплуатации различных web-уязвимостей и многое другое...

Part 1:

https://github.com/foospidy/payloads
https://github.com/terjanq/Tiny-XSS-Payloads
https://github.com/payloadbox/rfi-lfi-payload-list
https://github.com/payloadbox/csv-injection-payloads
https://github.com/payloadbox/sql-injection-payload-list
https://github.com/payloadbox/sql-injection-payload-list
https://github.com/payloadbox/xxe-injection-payload-list
https://github.com/hahwul/XSS-Payload-without-Anything
https://github.com/payloadbox/open-redirect-payload-list
https://github.com/payloadbox/command-injection-payload-list

Part 2:

https://github.com/sh377c0d3/Payloads
https://github.com/BrodieInfoSec/BIG_XSS
https://github.com/RedVirus0/LFI-Payloads
https://github.com/pgaijin66/XSS-Payloads
https://github.com/emadshanab/LFI-Payload-List
https://github.com/austinsonger/payloadsandlists
https://github.com/secf00tprint/payloadtester_lfi_rfi
https://github.com/omurugur/SQL_Injection_Payload
https://github.com/akalankauk/XSS-SQL-Master-Payloads

Part 3:

https://github.com/cujanovic/SSRF-Testing
https://github.com/omurugur/XSS_Payload_List
https://github.com/omurugur/SQL_Injection_Payload
https://github.com/swisskyrepo/PayloadsAllTheThings
https://github.com/omurugur/OS_Command_Payload_List
https://github.com/omurugur/Open_Redirect_Payload_List

‼️ Делись с друзьями, добавляй в избранное и включай уведомления чтобы не пропустить новый материал. Твой S.E. #bugbounty #payload

Панель управления Linux для управления выделенными и виртуальными частными серверами Control Web Panel (CWP) содержит уязвимости, позволяющие неаутентифицированным злоумышленникам удаленно выполнять код (RCE) с правами root на уязвимых серверах Linux.

Программное обеспечение CWP поддерживает следующие операционные системы: CentOS, Rocky Linux, Alma Linux и Oracle Linux.

Ошибка включения (CVE-2021-45467) и записи файлов (CVE-2021-45466), приводящие в совокупности к RCE, были обнаружены Паулосом Йибело из Octagon Networks.

Успешная эксплуатация подразумевает обход средств защиты безопасности. Злоумышленникам при этом необходимо добраться до раздела ограниченного API без аутентификации.

Этот трюк можно реализовать путем регистрации ключа API с помощью ошибки включения файла и создания вредоносного файла authorized_keys на сервере, используя дефект записи файла.

Исследователи намерены выпустить PoC после того, как достаточное количество серверов Linux под управлением CWP будут обновлены до последней версии.

Но вот в чем дилемма.

Согласно официальным данным разработчика, примерно 30 000 серверов работают под управлением CWP. По другим сведениям, обнаружено почти 80 000 открытых в Интернете серверов CWP на BinaryEdge. В реальности на Shodan и Censys можно расшарить более 200 000 уязвимых для RCE серверов.