31 Jul 2026, 17:02 UTC725 views36 reactionsread 7 August 2026 Photo
Делимся свежими результатами «Охоты» за июль 🏃♀️
😀[contest] XXE в SVG обработчике – 1.2М ₽
Наверное, все ведь знают, что XXE включает в себя импакт и от SSRF, и от чтения локальных файлов впридачу?
Так и вышло в рамках приватного конкурса в сервисах 360.
😀[contest] Повышение привилегий в рамках организации – 666К ₽
Собрать запросы с вызовами API от привилегированной учетной записи, а затем повторить их от самой сл…
🔥15custom 526476060351531061211custom 53279474279346508437👎2❤1
28 Jul 2026, 15:45 UTC≈1,030 views12 reactionsread 7 August 2026 Photo
🚧 На этой неделе наблюдались технические неполадки с присвоением идентификатора для новых отчётов. Уже всё починили.
Если вы не получили письмо с ID вашего отчёта на почту, пожалуйста, отправьте отчёт повторно 🚧
👍8👎3❤1
24 Jul 2026, 15:15 UTC≈1,700 views38 reactionsread 7 August 2026 Photo
Yet Another BugBounty Meetup 2026: done! 😎
Были рады увидеть как старых друзей, так и познакомиться с новичками!
Спасибо за вопросы, обсуждения, доклады и атмосферу. Уже ждём следующей встречи 😀
😀Ловите фотографии с митапа
🔥19custom 532794742793465084312❤7
13 Jul 2026, 15:15 UTC≈1,790 views21 reactionsread 7 August 2026 Photo
Если вы всё ещё размышляете участвовать ли в багхантерской премии Pentest Award от Awillix — возможно, это знак!
Ребята продлили приём заявок до 19 июля ⌨️
👍9👾4custom 53279474279346508434👎3❤1
3 Jul 2026, 15:15 UTC≈2,810 views35 reactionsread 7 August 2026 Photo
Тот самый Yet Another BugBounty meetup снова в деле!
Обычно наш митап закрытый — только для охотников. Но в прошлом году мы досыпали несколько мест для подписчиков, и это оказалось отличной идеей.
Продолжаем традицию: забронировали несколько мест на митапе для участников канала 🎉
Что в программе:
• Поделимся традиционными итогами Охоты за год
• Обсудим, как найти XSS в фиче, которую все уже сотню раз смотрели
• Ра…
custom 532794742793465084317🔥11❤4custom 52647606035153106123
1 Jul 2026, 14:01 UTC≈1,700 views29 reactionsread 7 August 2026 Photo
Июнь был особенно жаркий, потому что у нас проходил закрытый конкурс с повышенными выплатами в отдельном скоупе 😎
Поэтому сводку мы хотим разделить на 2 части
Топ-3 за июнь:
😀Исследуя старое, но еще доступное API, исследователь наисследовал критичный IDOR с возможностью перезаписи данных, за что получил 450 000 ₽
😀225 000 ₽: Возможность раскрыть умеренно чувствительные данные о произвольной учетной записи через “…
🔥16custom 53279474279346508438🤩2custom 52647606035153106122❤1
1 Jun 2026, 08:37 UTC≈2,210 views30 reactionsread 7 August 2026 Photo
В мае топ награды получили 2 отчета с необычными дисклозами и RCE за счет необычной эксплуатации CVE.
😀[RCE] Охотник смог успешно реализовать эксплуатацию CVE в обработчике изображений (уже догадались, что за библиотека?)
Стандартные, всем известные PoC тут не подходили, но охотник доработал кастомный эксплойт и забрал заслуженные 1,2 млн ₽.
😀[Information Disclosure] Исследователь продемонстрировал возможность пол…
🔥20custom 53279474279346508436custom 52647606035153106122❤1👎1
22 May 2026, 15:45 UTC≈2,330 views33 reactionsread 7 August 2026 Photo
💰Хотим разобрать популярный вопрос про сроки выплат
"- НУ ЧТО ТАМ С ДЕНЬГАМИ?"
Раз в месяц мы складываем все награды, которые накопил каждый исследователь за прошлые 30 дней, и отправляем в банки.
Это означает, если у вас было 3 обработанных отчета с назначенными наградами в прошлом месяце, то вы получите одну суммарную выплату сразу за 3 отчета, если только 1 отчет — значит, придет за 1.
Обычно, с учетом работы …
custom 532794742793465084319custom 52647606035153106126🔥5❤2👾1
8 May 2026, 14:50 UTC≈2,410 views18 reactionsread 7 August 2026 Photo
Привет, охотники за hardware уязвимостями! 😎
Вышла свежая статья от команды Умных Устройств — в ней рассказываем про нашу модель защиты девайсов и показываем примеры уязвимостей, которые стоит искать на разных уровнях.
Собираетесь вкатиться в hardware-security — велком читать целиком статью на Хабре! 😀
🔥7custom 53799731141154087446❤2custom 53279474279346508432❤🔥1
6 May 2026, 08:03 UTC≈2,170 views31 reactionsread 7 August 2026 Photo
Делимся информацией о трех самых дорогих репортах апреля:
😀Один из охотников продемонстрировал успешное применение "состояния гонки" — вышел честный и довольно стабильный тейковер.
😀Побег из сендбокса, который сам по себе не был опасным. Но исследователь обнаружил внутри полезные ключи, которых там быть не должно.
Кстати, советуем почитать наш пост — он как раз о таких сценариях.
😀Чтение локальных файлов с сервера…
🔥21custom 53279474279346508436👍3❤1
27 Apr 2026, 14:37 UTC≈2,730 views37 reactionsread 7 August 2026 Photo
Что происходит с отчётом после кнопки "Отправить" 🤔
Этап 1: Новый отчёт
Сразу после нажатия «Отправить» приходит автоматическое письмо с уникальным ID отчёта. По этому ID вся переписка по отчёту собирается в один тред на почте, а мы быстрее находим его, если вы к нам обращаетесь.
Этап 2: Статус «В работе»
Инженер начал работу с вашим отчётом. Вам на почту приходит автоматическое письмо.
На этом этапе инженер повто…
custom 532794742793465084315👍11❤4👎4🤩3
22 Apr 2026, 15:10 UTC≈1,990 views33 reactionsread 7 August 2026 Photo
Рубрика #охотникам_на_заметку
В нашей практике нередко бывают случаи, когда мы размечаем RCE как «не представляет опасности».
Про это и хотим рассказать — когда на первый взгляд опасный баг оказывается вовсе не опасным и как не потратить своё время зря.
Сценарии, где это актуально:
1. Режим «Исследовать» у Алисы
2. Виртуальные машины и платформы запуска скриптов в Практикуме / CodeRun / Contest
3. Виртуальные маши…
🔥16custom 53799731141154087448custom 53279474279346508434❤3👍2
Showing the 12 most recent of 15 posts we hold for @yandex_bugbounty. View and reaction counts are the latest single reading for each post, not a live figure, and a recent post is still accumulating both. A view count marked ≈ was rounded by Telegram before we ever saw it — t.me prints views in full below 1,000 and to three significant figures above, so ≈1,200,000 means somewhere between 1,150,000 and 1,249,999. Unmarked counts are exact. Text is reproduced from the public post preview and truncated for length.