Mandegar SEC🎩

13 June 2026 11:08

🚨 Windows BitLocker Bypass (CVE-2026-50507)

به تازگی مایکروسافت یک آسیب‌پذیری جدید در BitLocker معرفی کرده و برایش پچ فوری نیز منتشر کرده؛ با شناسه CVE-2026-50507.


یک Security Feature Bypass در سیستم رمزنگاری دیسک BitLocker که اگر exploit بشه :
به مهاجمین این امکان رو میده حتی بدون هیچ یوزر یا دسترسی قبلی، فقط با دسترسی فیزیکی به دستگاه بتونن از قابلیت BitLocker Device Encryption سو استفاده کنن و اونرو دور بزنن.

⚠️ یعنی چی در عمل؟
کسی که لپ‌تاپ یا سرور رو در اختیار بگیره (حتی موقت)، می‌تونه:
• از رمزنگاری عبور کنه
• به فایل‌ها دسترسی مستقیم بگیره
• یا حتی سیستم رو دستکاری کنه

📊 ریسک اصلی اینجاست:
BitLocker عملاً یکی از پایه‌ای‌ترین لایه‌های protection برای data-at-rest هست، و این آسیب‌پذیری همون لایه رو هدف گرفته.

🛡 Prevention :
• نصب فوری آپدیت‌های Patch Tuesday
• استفاده از TPM + PIN به‌جای TPM-only
• سخت‌گیری بیشتر روی امنیت فیزیکی دستگاه‌ها

📌Tips:
این نوع باگ‌ها بیشتر از اینکه “remote exploit” باشن، روی سناریوهای واقعی مثل سرقت لپ‌تاپ یا دسترسی فیزیکی کوتاه‌مدت خطرناک میشن.


و با توجه به افزایش استفاده سازمان‌ ها از نیروهای دورکار و سرورهای مستقر در نقاط مختلف، آسیب‌پذیری‌هایی که امنیت فیزیکی دستگاه‌ها را تهدید می‌کنند، ریسک بسیار بزرگی محسوب می‌شوند.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

10 June 2026 18:28

🚨 آزمایشگاه OWASP WSTG — مرجعی برای یادگیری و تمرین تست نفوذ وب

در این صفحه، استاندارد OWASP Web Security Testing Guide (WSTG) به‌صورت ساختاریافته ارائه شده تا بتوانید مباحث امنیت وب را به شکل هدفمند مطالعه و تمرین کنید.

در هر بخش از این آزمایشگاه:

🔹 توضیح مفاهیم و الزامات هر مبحث ارائه شده است
🔹 تست کیس‌های مرتبط برای انجام تست‌های امنیتی معرفی شده‌اند
🔹 لینک چالش‌های عملی جهت تمرین همان مفاهیم در محیط آزمایشگاهی قرار داده شده است

این مجموعه به‌صورت مستمر در حال تکمیل است و به مرور زمان:

🔸 تست‌کیس‌های بیشتری به آن افزوده می‌شود
🔸 چالش‌های عملی جدید اضافه می‌شود
🔸 بروزرسانی‌های آموزشی منتشر خواهد شد

اگر در حوزه Web Security و Web Penetration Testing فعالیت می‌کنید یا در حال یادگیری این حوزه هستید، این آزمایشگاه می‌تواند منبعی کاربردی برای مطالعه، تمرین و تقویت مهارت‌های عملی شما باشد.

🔗 مشاهده آزمایشگاه OWASP WSTG

https://challenginno.ir/owasp-wstg

برای دریافت آموزش‌ها و چالش‌های جدید، ما را دنبال کنید.

🌐 https://challenginno.ir
📢 t.me/challenginno
📢 https://ble.ir/challenginno

Mandegar SEC🎩

31 May 2026 19:02

ONE-LINER TO CORS MISCONF :

cat urls.txt | while read u; do origin ="https://evil.com" result=$(curl -sk -I -H "Origin: $origin" "$u" 2>/ dev/null) if echo "$result" | grep -qi "access-control-allow-origin: $origin"; then echo "[VULN] $u" fi done

Channel | Group

Mandegar SEC🎩

31 May 2026 18:33

منبعی جامع برایه کنفرانس هایه امنیت سایبری :

https://h4ckfl1x.com/

Channel | Group

Mandegar SEC🎩

31 May 2026 18:18

Author: zarvan
Editor: Chaos
Language: Persian
Telegram channel: @web_articles
2nd Edition

Mandegar SEC🎩

24 May 2026 21:33

تا چهل سالگی که مغزم خوب کار می کرد، به ‎ریاضیات و پژوهش پرداختم. از چهل تا شصت سالگی که ذهنم ضعیف شده بود به ‎فلسفه روی آوردم و در اواخر که به کلی مغزم کار نمی کرد به ‎سیاست!

Mandegar SEC🎩

20 May 2026 08:37

Github HACKED.❌

ما جزئیات بیشتری درباره تحقیقات مربوط به دسترسی غیرمجاز به مخازن داخلی GitHub منتشر می‌کنیم.

روز گذشته، ما یک compromise روی دستگاه یکی از کارکنان را شناسایی و مهار کردیم؛ حادثه‌ای که به یک افزونه آلوده VS Code مربوط می‌شد.
نسخه مخرب افزونه حذف شد، سیستم آلوده ایزوله شد و فرآیند Incident Response بلافاصله آغاز شد.

ارزیابی فعلی نشان می‌دهد که این فعالیت صرفاً شامل exfiltration مخازن داخلی GitHub بوده است.
ادعای مهاجم مبنی بر دسترسی به حدود 3800 repository، تا این لحظه با یافته‌های تحقیق ما هم‌راستا به نظر می‌رسد.

برای کاهش ریسک، GitHub به‌سرعت اقدام به rotation کلیدها و secrets حساس کرد و credentialهای با اولویت بالا ابتدا تغییر داده شدند.

تحقیقات همچنان ادامه دارد؛
تیم‌ها در حال تحلیل لاگ‌ها، اعتبارسنجی فرآیند rotation و مانیتورینگ هرگونه فعالیت مشکوک بعدی هستند.

گزارش کامل‌تری پس از پایان تحقیقات منتشر خواهد شد.
GITHUB

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻

Channel | Group

Mandegar SEC🎩

13 May 2026 10:42

یک کمپین Supply Chain Attack با نام «Mini Shai-Hulud» بیش از 170 پکیج در npm و PyPI را آلوده کرده.


مهاجمین با قرار دادن یک فایل JavaScript مبهم‌ سازی‌شده داخل پکیج‌ها، بدافزاری برای سرقت credential از سرویس‌های مختلف ،از cloud provider ها گرفته تا پیام‌رسان‌ها منتشر کرده‌اند.

نکته خطرناک‌ تر، روش stealth این بدافزار است:
داده‌ها از طریق یک دامنه trusted exfiltrate می‌شوند؛
موضوعی که detection را بسیار سخت‌تر میکند.
این malware همچنین میتواند:
• داخل محیط‌های توسعه persistence ایجاد کند
• workflowهای GitHub را دستکاری کند
• و آلودگی را به پروژه‌های دیگر گسترش دهد
این حمله که با شناسه CVE-2026-45321 ثبت شده، نمونه‌ای جدی از نسل جدید حملات supply chain مبتنی بر سوءاستفاده از identity و trusted publishing mechanisms محسوب می‌شود.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻

CHannel | GRoup

Mandegar SEC🎩

13 May 2026 10:01

One Endpoint, One Mistake, One Catastrophe


mhnikyar/one-endpoint-one-mistake-one-catastrophe-fc0f6d2b8e5a" rel="nofollow">https://medium.com/@mhnikyar/one-endpoint-one-mistake-one-catastrophe-fc0f6d2b8e5a

مرسی از مهندس نیکیار عزیز👌

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
CHannel | Group

Mandegar SEC🎩

10 May 2026 21:06

Next.js v16.2.4 Security PoC Collection🍸

(CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578, CVE-2026-44573, CVE-2026-44581, CVE-2026-44580, CVE-2026-44577, CVE-2026-44576, CVE-2026-44582, CVE-2026-44572)
https://github.com/dwisiswant0/next-16.2.4-pocs

Channel | Group

Mandegar SEC🎩

09 May 2026 09:49

مهم نیست کوه چقدر بلند باشه،
خورشید همیشه طلوع می‌کنه...

_آلبر کامو

Mandegar SEC🎩

08 May 2026 10:06

اپیزود جدید Behind the Binary منتشر شد!🎙

Xusheng Li ،
طراح معماری دیباگر، توضیح میده چرا
Time Travel Debugging (TTD) می‌تونه آینده‌ یه دیباگینگ باشه.

از حل کردن مشکل (granulariy) توی تحلیل بدافزار گرفته تا پیدا کردن باگ‌ های سطح سخت‌افزار و microcode
جایی که معمولا ابزارهای سنتی عملا کور میشن.

یه نگاه عمیق به این که دیباگینگ داره به چه سمت پیچیده و قدرتمندی حرکت میکنه.

PODCAST APPLE🍐

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
@mandegar_sec | Group

Mandegar SEC🎩

08 May 2026 08:17

🔎🇷🇺 داخل دانشگاه نخبه Bauman در روسیه، یک دپارتمان محرمانه وجود داره که گفته میشه برای تربیت نسل بعدی هکرها، خرابکارها و نیروهای اطلاعاتی GRU طراحی شده.

حالا بیش از 2000 سند لو رفته، تصویر واضح‌تری از این ساختار میده:
فارغ‌التحصیل‌ها مستقیماً به واحدهایی وصل میشن که پشت عملیات‌های سایبری، دخالت در انتخابات و فعالیت‌های سایبر-نظامی علیه ناتو قرار دارن.

این افشاگری‌ها نشون میده چطور آموزش آکادمیک می‌تونه به‌صورت مستقیم به زنجیره‌ یه جنگ سایبری وصل بشه.

Bauman :
Bauman Moscow State Technical University
یه دانشگاه خیلی معروف فنی تو روسیه، بیشتر برای مهندسی و کارای سطح بالا تو حوزه‌های تکنولوژی و بعضی پروژه‌های دفاعیه و گفتم که فوشم ندین.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

08 May 2026 03:04

CVE-2026-0300 یک Zero-Day در PAN-OS🔴
مربوط به User-ID Authentication Portal / Captive Portal روی پورت‌ هایه "6080/6081/6082" است.

طبق گزارش‌ها، سوءاستفاده محدود از این باگ تأیید شده و تا تاریخ 7 می 2026 هنوز patch رسمی برای آن منتشر نشده.


از بین 62,616 سرور عمومی PAN-OS، حدود 2,986 مورد (نزدیک به 4.8٪) این پورت‌ها را اکسپوز کرده‌اند.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

07 May 2026 23:08

سلام عزیزان ؛ من از ایشون کانفیگ گرفتم خیلی سرعت ، پایداری و قیمت خوب و مناسبی داشت ( با مسئولیت خودتون خرید بزنید)❤️
@Alirez_gyhu

Mandegar SEC🎩

11 June 2026 12:50

کارمندی که با یک فلش، بزرگ‌ترین اسناد محرمانه آمریکا را سرقت کرد

- همه‌چیز از اتاقی فوق‌امنیتی در پایگاه‌های اطلاعاتی آمریکا شروع شد؛ جایی که هزاران گزارش محرمانه جنگ عراق و افغانستان، مکالمات دیپلماتیک و اسناد عملیات‌های مخفی ذخیره می‌شدند. سیستم آن‌قدر امن به‌نظر می‌رسید که مقام‌های آمریکایی تصور می‌کردند بیرون بردن اطلاعات تقریباً غیرممکن است.

- اما مشکل از جایی شروع شد که کسی به یک تحلیلگر جوان ارتش آمریکا بیش‌ازحد اعتماد کرده بود. نامش «بردلی منینگ» بود؛ سربازی که به شبکه داخلی محرمانه وزارت دفاع آمریکا دسترسی داشت؛ همان شبکه‌ای که میلیون‌ها سند طبقه‌بندی‌شده در آن نگهداری می‌شد.

- در سال‌های جنگ عراق، حجم عظیمی از اطلاعات نظامی هر روز وارد این سیستم می‌شد؛ گزارش حملات، بازجویی‌ها، تلفات غیرنظامیان و مکاتبات دیپلماتیک. دسترسی گسترده برای سرعت کار طراحی شده بود، اما دقیقاً همان دسترسی گسترده، تبدیل به نقطه ضعف امنیتی شد.

- منینگ آرام‌آرام شروع به دانلود فایل‌ها کرد. نه با تجهیزات عجیب و نه با نفوذ پیچیده سایبری؛ فقط با دسترسی عادی یک کارمند داخلی. بعدها گفته شد بخشی از فایل‌ها حتی روی CD و حافظه‌های ساده منتقل شده بودند؛ اتفاقی که برای دستگاه امنیتی آمریکا شوکه‌کننده بود.

- در سال ۲۰۱۰، ناگهان سایت WikiLeaks شروع به انتشار انبوهی از اسناد محرمانه آمریکا کرد؛ از گزارش‌های جنگی گرفته تا صدها هزار پیام دیپلماتیک وزارت خارجه. یکی از جنجالی‌ترین فایل‌ها، ویدیویی بود که حمله بالگرد آمریکایی در بغداد و کشته شدن چند نفر، از جمله دو خبرنگار رویترز را نشان می‌داد.

- انتشار اسناد، واشنگتن را وارد بحران کرد. سفارتخانه‌های آمریکا در سراسر جهان در وضعیت هشدار قرار گرفتند و مقام‌های امنیتی نگران بودند نام منابع اطلاعاتی و همکاران مخفی آمریکا فاش شود.

- ترسناک‌ترین بخش ماجرا برای نهادهای اطلاعاتی آمریکا چیز دیگری بود؛ این‌که بزرگ‌ترین نشت اطلاعات محرمانه، نه توسط هکرهای خارجی و نه توسط سرویس‌های رقیب، بلکه توسط فردی انجام شد که هر روز با کارت شناسایی رسمی از در اصلی وارد محل کارش می‌شد.

در عصر دیجیتال، گاهی فقط یک فلش کوچک که در جیب جا می‌شود، از بمب و موشک هم می‌تواند خطرناک‌تر باشد.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

31 May 2026 19:21

یه مقاله جالب برای علاقه‌مندان Red Team 👇

این مقاله درباره اینه که چطور میشه از سورس‌کد Windows Server 2003 استفاده کرد تا ابزارها کمتر شبیه “tool” به نظر بیان و طبیعی‌تر رفتار کنن.

توی مقاله، نویسنده اومده فایل‌های مهم و ساختارهای کلیدی سیستم رو بررسی و مپ کرده و چند مثال عملی هم زده از اینکه چطور میشه از این سورس‌کد کنار MS-* specs و RFCها برای طراحی بهتر استفاده کرد.

🔗 لینک مطالعه: https://www.abdulmhsblog.com/posts/useingthewindowssourcecode/

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

31 May 2026 18:52

🚨آسیب‌پذیری CVE-2026-46529 که ریشه آن به یک باگ حدوداً ۱۰ ساله برمی‌گردد، به مهاجم اجازه می‌دهد از طریق قابلیت "/GoToR" در فایل PDF، پارامترهای مخربی را به Evince تزریق کند.

در این سناریو، مهاجم با سوءاستفاده از نحوه پردازش آرگومان‌ها، یک فایل Polyglot را معرفی می‌کند؛ فایلی که هم‌زمان یک PDF معتبر و یک فایل ELF معتبر است. در ادامه، GTK3 این فایل را بارگذاری کرده و کد مخرب قبل از تکمیل اجرای PDF Reader اجرا می‌شود.

نکته جالب اینجاست که مکانیزم محافظتی موجود نیز با یک ترفند ساده (اضافه کردن "?1" به نام فایل) دور زده می‌شود.

این مشکل تنها محدود به Evince نیست و Viewer های Atril و Xreader نیز تحت تأثیر قرار گرفته‌اند.

✅ ورژن های پچ شده:
• Evince 48.4
• Atril 1.28.4
• Xreader 4.6.4

حذف شدن فقط یک "g_shell_quote()" کافی است تا یک PDF Reader به Loader فایل‌های ELF تبدیل شود.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

31 May 2026 18:25

🇰🇵 گروه APT کره‌ شمالی Kimsuky (معروف به Velvet Chollima) در جریان یک کمپین جدید، سازمان‌های نظامی و شرکت‌های کره جنوبی را هدف قرار داده است.

مهاجمان با جعل نصب‌کننده نرم‌افزار های امنیتی محبوب کره‌ای، نسخه‌ای از RAT شناخته‌شده HTTPSpy را روی سیستم قربانیان مستقر میکنند.

این بدافزار امکاناتی مانند اجرای دستورات، انتقال فایل، ثبت اسکرین‌شات، تزریق DLL و حذف ردپا از سیستم را در اختیار مهاجم قرار میدهد.

نکته قابل توجه این عملیات، استفاده از یک وب‌سایت جعلی با ظاهر صفحه نصب یک پیام‌رسان سازمانی کره‌ای است؛ موضوعی که نشان می‌دهد مدیران سامانه‌ها و ادمین‌های سازمانی احتمالاً هدف اصلی این کمپین بوده‌اند.

این اولین استفاده Kimsuky از HTTPSpy نیست؛ این گروه حداقل از سال 2022 از این بدافزار استفاده کرده و در سال 2024 نیز آن را در حملات علیه یک پیمانکار دفاعی آلمانی به‌کار گرفته بود.

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

31 May 2026 18:18

این مقاله یه جور راهنمای شخصیه از یه باگ هانتر به اسم ZSeano که روش کار خودشو برای پیدا کردن باگ تو برنامه‌های باگ بانتی توضیح میده. اون میگه اول باید خوب سایت رو بگردی و بفهمی چجوری کار میکنه، بعد سطح حمله رو با پیدا کردن سابدامنه‌ها و فایل‌های مختلف گسترش بدی و در آخر هم این کارا رو هی تکرار کنی و حواست به تغییرات سایت باشه. ZSeano چند تا از باگ‌هایی که خودش پیدا کرده رو هم مثال میزنه تا نشون بده با همین روش‌های ساده هم میشه باگ‌های مهم پیدا کرد. در آخر هم یه سری منابع مفید و هکرهای تو توییتر رو معرفی میکنه.

Mandegar SEC🎩

21 May 2026 22:36

CSRF on GraphQL Api with real exploit code


https://www.instagram.com/p/DYm_1S0DX6B/?igsh=MWMyODdkcHVibjM2eA==

Mandegar SEC🎩

14 May 2026 17:23

🚨هشدار امنیتی به کارکنان صنایع دفاعی و علمی.

Mandegar SEC🎩

13 May 2026 10:14

Redis
5 پچ امنیتی مهم منتشر کرد؛ ⚠️

از جمله RCE در دستور "RESTORE
" (CVSS 7.7). 💻🔥

اگر Redis خودتان مدیریت می‌شود، فوراً آپدیت کنید. 🚀
این باگ‌ها منجر به اجرای کد مستقیم روی سرور می‌شوند. 🛑
خطرات Redis همچنان در زیرساخت‌ها دست‌کم گرفته می‌شود. 📉🔒

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻

CHannel🥃 | Group🍸

Mandegar SEC🎩

13 May 2026 09:59

Top 10 File-Specific Leaks
Target: config.php

01 - config.php.bak
02 - config.php.old
03 - config.php~
04 - config.php.orig
05 - .config.php.swp
06 - config.php.tmp
07 - _config.php
08 - http://config.php.save
09 - config.php.txt
10 - http://config.php.zip

#Recon #BugBounty

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
Channel | Group🥃

Mandegar SEC🎩

10 May 2026 18:56

خوب یک بچه رایتاپ بنویسم براتون


تو سایت برای بخش پرداخت داشت از bpm استفاده میکرد بعدش سه تا پارامتر refId - rescode - saleoederid هر اکانت یک ایدی داشت که هربار ثابت بود تو هر تراکنشی داشت یک چیز جالب من saleoederid عوض میکردم و شروع میکردم یک تراکنش نا موفق رو اسپم دادن دیگه طرف تو اون اکانت که یک ایدی یونیک داشت نمیتونست پرداختی داشته باشه همش کنسل میشد .

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Mandegar SEC🎩

08 May 2026 20:36

Dirty Frag

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

CHannel🖤 / Group🕊

Mandegar SEC🎩

08 May 2026 09:21

در حالی که ما اینجا در به در دنبال کانفیگیم ،یک تحلیل فنی جدید از نفوذ در لینوکس منتشر شده که زنجیره کامل فعالیت مهاجم رو قدم‌به‌قدم بررسی میکنه:

• استقرار Father Rootkit با "LD_PRELOAD"
• اجرای XMRig Miner با disguise تحت نام "top"
• برقراری SSH Tunnel خروجی از طریق staging داخل "/dev/shm"

این walkthrough
تایم‌لاین کامل آرتیفکت‌ ها، تکنیک‌های persistence و متدهای دقیق detection هم داخلش پوشش داده شده.

نمونه‌ای خوب برای درک رفتار واقعی مهاجم‌ها بعد از initial access روی سیستم‌های لینوکسی.


https://righteousit.com/2026/05/07/linux-investigation-part-4/

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

08 May 2026 07:04

اینکه یه hostname روی اینترنت NXDOMAIN برگردونه، همیشه به این معنی نیست که واقعا وجود نداره.

خیلی وقت‌ ها همون دامنه داخل شبکه‌ داخلی هنوز کامل resolve میشه.

"internal-api.corp" → بیرون: NXDOMAIN
"internal-api.corp" از طریق SSRF → پاسخ معتبر HTTP


اگه توی تست SSRF، hostname هایی که resolve نمیشن رو کنار بذاری، ممکنه دقیقا همون asset داخلی مهم رو از دست بدی.

از اون طرف، همیشه قبل از هر تستی Swagger/OpenAPI رو چک کن:

"/swagger/v1/swagger.json"

بعضی target ها بدون auth کل داکیومنت API رو اکسپوز میکنن

curl -s "https://target.com/swagger/v1/swagger.json" | wc -c

➖Dedicated to the immortal🕊 names.

GROUP ™️
@mandegar_sec | channel

Mandegar SEC🎩

08 May 2026 02:45

Anthropic
برنامه Bug Bounty خودش رو حالا به‌صورت عمومی روی HackerOne منتشر کرده.

تا الان این برنامه رو به‌صورت خصوصی و فقط با جامعه‌ی محققان امنیتی اجرا میکردیم، و گزارش‌های اون‌ها نقش مهمی در تقویت امنیت محصولاتمون داشت.
از این به بعد، همه میتونن آسیب‌پذیری‌ها رو گزارش کنن و بابتش پاداش دریافت کنن.

🔗 اطلاعات بیشتر: hackerone.com/anthropic

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻

@mandegar_sec | channel
Group🖤

Mandegar SEC🎩

07 May 2026 14:50

قطع طولانی اینترنت تحقیر اکثریت بزرگی از افراد کشور، یک‌جا و باهم است. اما این بین، گروهی که شغلشان به‌هرشکل به اینترنت وابسته است، تحقیری عمیقتر و نفس‌گیرتر را تجربه می‌کنند. با آن‌ها طوری رفتار شده که گویا شغلشان "مهم" نيست. حرمت ندارند و می‌شود با زندگی‌، زحمات، اهداف، آینده و برنامه‌هایشان بازی کرد.

© DevYara

🔗 ᴡᴇʙꜱɪᴛᴇ • ᴠᴘɴʜᴜʙ • ɢɪᴛʜᴜʙᴍɪʀʀᴏʀ
@ircfspace