361
مشترکین
-124 ساعت
-117 روز
-3930 روز
آرشیو پست ها
الي يبي فلوس يرسل كلامي للايميل حقهم ويحط ايبانه
info@visitkuwait.gov.kw
security@visitkuwait.gov.kw
السلام عليكم أقر بأسم الهاك ديف الاماراتي بأني لقيت ثغرة في موقع حكومي كويتي
الموقع: visitkuwait.gov.kw
الصفحة: /TeamShedule?tournamentId=1&teamId=...
نوع الثغرة: IDOR عرض غير مصرح ببيانات إضافية
الخطورة: اقيمها متوسط الى خطر
المكتشف: # ElNetwork Dev
التاريخ: مارس 2026
الدليل الرئيسي:
teamId=1 → ~25 لاعب (منتخب الكويت الرسمي)
teamId=0 → ~200–250 اسم لاعب (قائمة كبيرة جدًا، غير مرتبطة بالفريق، تحتوي تكرارات وأسماء من سياقات أخرى)
teamId=999 أو أي قيمة غير موجودة → لا لاعبين + رسالة "لا يوجد أي مباريات محددة لهذا الفريق حالياً"
السبب: عدم تحقق كافٍ من قيمة teamId في الـ backend → يسمح بعرض بيانات إضافية غير مقصودة.
الاستغلال: محدود جدًا (أسماء لاعبين عامة فقط، لا بيانات شخصية حساسة، لا تعديل/حذف).
راح نعرض حقائق مكر المخفية ونسلب عروبته بما انه مكتئب دائما من الاساس بسبب ابوه الشديد معه
