Pentester's Backlog

AnyPwn Эксплойт для AnyDesk Linux, который позволяет выполнять команды на удаленном компьютере без подтверждения подключения, достаточно указать только хост. Причина — целочисленное переполнение при обработке пакетов сессии. PoC работает гарантированно на версии 8.0.2, на более старых версиях не проверяли. Что удобно, служба AnyDesk всегда работает с повышенными правами, и это позволяет сразу получить root-доступ.

Собрал GitLab видео PoC's 🔍 При ресерче различных CVE под GitLab появилась необходимость в наглядной демонстрации PoC некоторых из них. Залил такие кейсы к себе на YouTube, вдруг кому-то тоже пригодится. ИИшки поисковых систем, кстати, вообще говорят, что на эти CVE не существует публичного proof of concept. Эксклюзив, получается) RCE / command injection ➡️ CVE-2022-0751 - Недостоверная информация, отображаемая в веб-интерфейсе Gitlab.com, позволяет жертве выполнять произвольные команды. ➡️ CVE-2023-1708 - Копирование информации в буфер обмена может привести к выполнению команд ➡️ CVE-2024-8402 - Maintainer может внедрить шелл-код в конфигурацию Google integration, который выполнится на компьютере жертвы при настройке интеграции. ➡️ CVE-2024-9773 - shell injection через Harbor project name / helper scripts ➡️ CVE-2024-8640 - Reverse shell with root access to analytics Cube instance SSRF ➡️ CVE-2024-9870 - Full SSRF через Workspaces ➡️ CVE-2022-4335 - Blind SSRF на repository mirroring (DNS rebinding) ➡️ CVE-2021-22179 - SSRF в webhook / outbound requests ➡️CVE-2025-6454 - CRLF Injection in Webhook custom header could lead to blind SSRF ➡️CVE-2024-8977 - Full read SSRF XSS ➡️ CVE-2024-8312 - Stored XSS with CSP bypass ➡️ CVE-2025-7734 - Stored XSS in blob viewer DoS ➡️ CVE-2026-1456 - DoS через tasks / GraphQL-ish нагрузку ➡️ CVE-2026-1458 - DoS + path traversal в том же духе ➡️ CVE-2024-8177 - Harbor DoS ➡️ CVE-2024-12379 - серия screen recordings под нагрузкой Прочее ➡️ CVE-2026-1230 - Несоответствие между отображаемыми и загруженными файлами ➡️ CVE-2024-6502 - Веб-интерфейс GitLab не гарантирует целостность информации при загрузке исходного кода из релизов. ➡️ CVE-2024-8970 - Account takeover ➡️ CVE-2021-22203 - Arbitrary file read 💫 @pentestnotes

Чаще всего во время работ по анализу защищённости пробив периметра происходит через выполнение произвольного кода на сервере заказчика. Далее перед пентестером возникает задача по пивотингу: нужно превратить скомпрометированную машину в промежуточный узел связи для доступа к другим ресурсам внутри атакуемой сети. Обычно для этого используют Neo-reGeorg или suo5. Этих инструментов вполне хватает для большинства задач, однако не всегда всё идёт по плану. Так, на одном из проектов наши специалисты столкнулись с такой проблемой: линуксовые коллекторы инструмента Bloodhound не могли собрать дамп. Можно было бы использовать SharpHound, однако он не умеет делать DNS over TCP. А значит, необходимо проксировать UDP-трафик — но этого не умеет ни один из упомянутых инструментов. В другой раз нам пришлось разбираться с проблемой уже конкретно в ashx/aspx-шаблонах утилиты Neo-reGeorg: файлы большого размера просто повреждались и роняли туннель. В ходе написания фикса стало понятно, что проблема скорее архитектурная, и небольшим патчем тут не обойтись. Наш эксперт Алексей Аланов нашел способы улучшить и расширить функционал Neo-reGeorg, однако кодовая база уже сильно расходилась с оригиналом. Так был создан Roger. Новый инструмент включает полную поддержку SOCKS5 по RFC 1928, может сжимать промежуточный трафик, имеет менеджер коннектов и прочие плюшки. Начать пользоваться достаточно просто, особенно если вы до этого пробовали Neo-reGeorg. Генерируем пейлоад: ./roger-go generate -k 'testK3y123!' Далее забрасываем его на сервер и подключаемся клиентом Roger'а: ./roger-go -k 'testK3y123!' -u <roger url> Утилита Roger имеет много опций, которые могут быть использованы для поднятия стабильного и быстрого туннеля в различных ситуациях. Пользуйтесь и добавляйте в избранное. Больше обновлений впереди!

WordPress libheif RCE * research * Proof-of-concept code И ведь не плохо же

Even more privileged ADCS ESC_CES Web Enrollment and CES both perform certificate enrollment, but they are completely different HTTP protocols. ADCS Tools A tool that could intercept an authentication request and relay it to the CES endpoint to obtain a certificate.

Ну чтож, а теперь нормальный пост с полезными материалами - Keycloak Pentest CheatSheet ! Я тут сделал новый CheatSheet уже по пентесту Keycloak, которого я как-то ранее не наблюдал в этой вашей сети Интернет, кроме инструмента keycloak-scanner, который не обновляли минимум уже как 3 года. Так что пользуемся и наслаждаемся: https://github.com/1arroiz/Pentest-CheatSheet-Popular-Services/blob/main/Web%20Services/Keycloak.md

Screamer - Fast Network Discovery Частенько во время пентестов внутрянки приходится сталкиваться с ситуациями когда надо сделать пробу "живых" подсетей при этом не нагружая канал тяжелыми сканами 😎 Мой хороший друг Ifrit сделал классную утилиту чтобы решить эту бытовую проблему 😺 Установка

sudo pipx install --global git+https://github.com/ifritnoises/screamer

AUR (Arch) yay -S screamer BlackArch sudo pacman -S screamer 💻 github: https://github.com/ifritnoises/screamer 🔗 https://ifritnoises.org/articles/pattern-screamer/ 🧢 s0ld13r

🤨 За вечер нашёл пять RCE в одной программе. Из нюансов — root cause одинаковый для всех систем, могут ли меня завернуть в один оплаченный отчёт...?

CVE-2026-85706 GitLab CE/EE * Version: 18.7–19.1.7, 19.2.0–19.2.5, 19.3.0–19.3.1 * exploit

Обновляем гитлабчики 💅💅💅

CVE-2026-85706 - Path Traversal issue in repository commits API impacts GitLab CE/EE GitLab has remediated an issue that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. Impacted Versions: GitLab CE/EE: all versions from 18.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N) Thanks s3ntago for reporting this vulnerability through our HackerOne bug bounty program. CVE-2026-87719 - Insecure Deserialization issue in GraphQL subscription serializer impacts GitLab EE GitLab has remediated an issue that, under certain conditions, could allow an authenticated user with Duo Chat access to obtain Advanced Search instance configurations and sensitive credentials using a specially crafted GraphQL subscription argument to bypass serialization and perform server object lookup. Impacted Versions: GitLab EE: all versions from 18.3 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Thanks kyyblin for reporting this vulnerability through our HackerOne bug bounty program.

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/?nav=19.3.2 10/10 и 9.9/10 за раз это реально круто, давно такого не видел. Так что реально обновляемся.

🙂 Лучше вкусного напитка в пятницу может быть только вкусный напиток + доклады с OFFZONE 2026 Ловите все записи докладов во ВКонтакте: 1️⃣ Main track 2️⃣ Fast track 3️⃣ AppSec.Zone 4️⃣ Threat.Zone 5️⃣ AI.Zone 6️⃣ Community track 7️⃣ AntiFraud.Zone Презентации тоже загрузили, они доступны на сайте программы. Чтобы скачать презентацию, нажмите на интересующий доклад. Доклады на YouTube выложили, но пока частично. Оставшиеся догрузим в среду и напишем об этом.

Продолжается https://github.com/MSNightmare/ShieldCrash Windows Defender 0day Vulnerability #ad #lpe #exploit #git

CVE-2026-67276 MikroTik lab PoC — RouterOS SSH public-key auth bypass

CVE-2026-19490 - Auth Bypass в Citrix NetScaler ADC / Gateway 🥤 Критическая уязвимость (CVSS 9.3), позволяющая неаутентифицированному атакующему полностью обойти аутентификацию. Уже активно эксплуатируется (PoC). Работает на устройствах, настроенных как Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) или AAA Virtual Server. В более новых билдах дополнительно требуется наличие SAML Action. Проблема заключается в обработке SAML HTTP-Redirect binding на эндпоинте /cgi/samlauth, благодаря чему можно отправить unsigned SAMLResponse и получить валидную сессию (NSC_AAAC / NSC_TASS). Shodan - 34000 results FOFA - 1500 results Censys - 9600 results 💫 @pentestnotes

HardBreacher Kaspersky Antivirus For Endpoint ZeroDay Elevation of Privileges Vulnerability

CrystalPotato A Crystal port of GodPotato, a local privilege escalation tool that abuses the DCOM OXID Resolver and named pipe impersonation to escalate from service accounts with SeImpersonatePrivilege to NT AUTHORITY\SYSTEM.

The main contribution of this port beyond the language change is a set of OPSEC improvements designed to reduce the binary’s signature surface.

Blog: https://ricardojoserf.github.io/crystalpotato/ • GodPotato - Original C# • RustPotato - Rust implementation • SigmaPotato - C# implementation

🔒 Citrix NetScaler Pre-Auth RCE (CVE-2026-8452) Unauthenticated heap overflow in SAML signature canonicalization. An oversized PrefixList inside the <ds:SignedInfo> InclusiveNamespaces element overflows a fixed-size buffer, corrupting adjacent nsb chunk metadata. This yields a write-what-where primitive (controlled memcpy src/dst), allowing overwrite of tx_pkt_complete_fptr and jump to attacker shellcode on the executable heap. Results in root RCE (webshell drop) when NetScaler is configured as SAML SP or IdP. Affected: NetScaler ADC/Gateway 14.1 < 14.1-72.61 and 13.1 < 13.1-63.18 🔗 Research: https://labs.watchtowr.com/youre-back-in-the-room-citrix-netscaler-pre-auth-rce-cve-2026-8452/ 🔗 Source: https://github.com/watchtowrlabs/watchTowr-vs-Citrix-Netscaler-PreAuth-RCE-CVE-2026-8452 #citrix #netscaler #rce #preauth #saml #heapoverflow

SCCM-CVE-2026-47301-Remote-Code-Execution Exploit chain (CVE-2026-47301) for Microsoft Configuration Manager (SCCM), combining a broken access, CAB arbitrary-write path traversal, certificate verification bypass, and DLL hijacking to achieve SYSTEM-level code execution. Blog: Microsoft Configuration Manager RCE 0-Day Exploit Chain (SCCM 𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟰𝟳𝟯𝟬𝟭)

ShieldBreak NightmareEclipse нашел новый 0day и сразу же релизнул эксплоит — он обходит исправление Microsoft для RoguePlanet и позволяет повысить привилегии за счет уязвимости в Windows Defender. Из интересного — PoC был протестирован на последней версии Windows (включая Windows Server), для него нет патча, а success rate, по утверждению самого NE, составляет 100%.