ALPHA-TRAIN2

7 Commits

Include renames

Author	SHA1	Message	Date
h1z3	4cfd0b4165	Merge branch 'main' of git.itqdev.xyz:4x10m/ALPHA-TRAIN2	2026-08-26 11:48:54 +03:00
h1z3	5aba7959f8	sploit for arena-battle 4	2026-08-26 11:46:40 +03:00
bobiqqandClaude Opus 5	456287b6c0	sploits: tiktak (LFI, auth bypass, утечка превью) build-and-push / detect (push) Successful in 12s Details build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Successful in 1m24s Details - tiktak_vtt_path_traversal.py: ../ в ?id=, подбирает рабочий шаблон один раз и переиспользует на остальных ID. - tiktak_vtt_auth_bypass.py: рассинхрон SQL/FS ('./7' => MySQL 0, файл public/vtt/7.vtt), работает даже если запатчат только traversal. - tiktak_private_preview_leak.py: резкое превью приватного видео, OCR опционален, без pytesseract молча не печатает мусор в stdout. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-26 11:42:05 +03:00
h1z3	6810a67be9	sploit for arena-battle 2	2026-08-26 11:38:24 +03:00
dmeetrogonandClaude Opus 5	8041f1b90f	sploits: сплойт на rusgram (5 векторов) Комбинированный сплойт: V1 SSTI->RCE через имя юзера *.html, V3 SSRF через Origin, V4 прямой database :38002, V5 прямой content :38004, V2 захват аккаунта перерегистрацией. Векторы независимы — патч одного не глушит остальные. Энумерация жертв: комментарии к картинкам + `ls` через RCE. V1 использует свежее имя юзера на каждый раунд: Flask вне debug не перечитывает шаблоны, и после первого рендера Jinja отдаёт закэшированную версию. Проверено на стенде: собирает все посаженные флаги. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01NN8sHQuGbTBLGGkJyfxzXr	2026-08-26 11:31:28 +03:00
h1z3	5d765a09db	sploit for arena-battle build-and-push / detect (push) Successful in 10s Details build-and-push / build (${{ fromJSON(needs.detect.outputs.services) }}) (push) Successful in 51s Details	2026-08-26 11:29:05 +03:00
4x10mand4x10m	34a798d345	Initial commit	2026-08-26 06:37:04 +00:00