🕵‍♂️

🔐 Тихие баги, которые приносят деньги

Когда люди думают про багбаунти, они сразу представляют себе RCE или SQLi. Но большинство реально оплачиваемых находок — это тихие, но очень цепкие баги.

🧩 IDOR — в 80% случаев недооценён

Параметр user_id=1234? — Меняй. Всегда.
Параметр email, username, account_id, document_id, image_id, order_id? — Меняй.
Не важно, что нет ошибки. Даже если ответ — просто 403, это уже может быть проверка на backend’е, и баг проявляется в другом методе.

📩 Смена почты — недооценённый вектор

Смена email — это точка управления аккаунтом.
Если можно сменить почту без подтверждения старой, без токена, или даже просто через IDOR — ты управляешь чужим аккаунтом.
Плюс: после смены многие системы позволяют сбросить пароль через новый email → Account Takeover.

📲 Старые токены, сессии, коды — не всегда инвалидируются

Остаётся ли старая сессия после смены пароля?
Работает ли старый 2FA код дважды?
Можно ли активировать Magic Link/OTP несколько раз?
Если да — это уже повод накатать репорт.

📊 Что реально приносит деньги

IDOR + логика
Отсутствие подтверждения действий (email, 2FA, delete)
Логика доступа между ролями
Баги в API, особенно с PUT, PATCH, DELETE

🛠 Что проверять первым

Email change / password reset flow
Sharing/token-based доступы
Скачивание и просмотр чужих файлов
API с параметрами user/account/id

🧠 Важно: если endpoint скучный — это хорошо.
Скучные баги почти всегда живут дольше и оплачиваются лучше.