ALPHA-TRAIN2

15 Commits 1 Branch 0 Tags

3 Commits

Author SHA1 Message Date

Author	SHA1	Message	Date
bobiqqandClaude Opus 5	456287b6c0	sploits: tiktak (LFI, auth bypass, утечка превью) build-and-push / detect (push) Successful in 12s Details build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Successful in 1m24s Details - tiktak_vtt_path_traversal.py: ../ в ?id=, подбирает рабочий шаблон один раз и переиспользует на остальных ID. - tiktak_vtt_auth_bypass.py: рассинхрон SQL/FS ('./7' => MySQL 0, файл public/vtt/7.vtt), работает даже если запатчат только traversal. - tiktak_private_preview_leak.py: резкое превью приватного видео, OCR опционален, без pytesseract молча не печатает мусор в stdout. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-26 11:42:05 +03:00
bobiqqandClaude Opus 5	fac56abb1d	tiktak: LFI/auth-bypass в /vtt/, утечка превью, креды - handleVtt: id валидируется как положительное целое, ошибка GetVideo больше не игнорируется. Закрывает сразу два вектора: обход ACL через нулевой db.Video (Private=false => haveAccess пропускал анонима) и path traversal в path.Join(VttFolder, vid+".vtt"). - handleCreate: резкое превью приватного видео удаляется после блюра, иначе оно оставалось доступным в public/static через echo.Static. - main.go: DSN приведён к паролю из compose (`5935004` поменял только compose, из-за чего сервис не достучался бы до базы). - db: пароли хешируются sha256 с pepper, сверка в Go constant-time, плейнтекст принимается как legacy => старые юзеры не теряют доступ. - cookies: HttpOnly + Path=/ + SameSite=Lax. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-26 11:42:05 +03:00
bobiqq	c231be0094	services build-and-push / detect (push) Successful in 7s Details build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Failing after 3m33s Details	2026-08-26 11:04:23 +03:00

bobiqqandClaude Opus 5

456287b6c0

sploits: tiktak (LFI, auth bypass, утечка превью)

build-and-push / detect (push) Successful in 12s

Details

build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Successful in 1m24s

Details

- tiktak_vtt_path_traversal.py: ../ в ?id=, подбирает рабочий шаблон
  один раз и переиспользует на остальных ID.
- tiktak_vtt_auth_bypass.py: рассинхрон SQL/FS ('./7' => MySQL 0, файл
  public/vtt/7.vtt), работает даже если запатчат только traversal.
- tiktak_private_preview_leak.py: резкое превью приватного видео,
  OCR опционален, без pytesseract молча не печатает мусор в stdout.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-26 11:42:05 +03:00

bobiqqandClaude Opus 5

fac56abb1d

tiktak: LFI/auth-bypass в /vtt/, утечка превью, креды

- handleVtt: id валидируется как положительное целое, ошибка GetVideo
  больше не игнорируется. Закрывает сразу два вектора: обход ACL через
  нулевой db.Video (Private=false => haveAccess пропускал анонима) и
  path traversal в path.Join(VttFolder, vid+".vtt").
- handleCreate: резкое превью приватного видео удаляется после блюра,
  иначе оно оставалось доступным в public/static через echo.Static.
- main.go: DSN приведён к паролю из compose (5935004 поменял только
  compose, из-за чего сервис не достучался бы до базы).
- db: пароли хешируются sha256 с pepper, сверка в Go constant-time,
  плейнтекст принимается как legacy => старые юзеры не теряют доступ.
- cookies: HttpOnly + Path=/ + SameSite=Lax.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-26 11:42:05 +03:00

bobiqq

c231be0094

services

build-and-push / detect (push) Successful in 7s

Details

build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Failing after 3m33s

Details

2026-08-26 11:04:23 +03:00