Делимся свежими результатами «Охоты» за июль 🏃‍♀️

😀[contest] XXE в SVG обработчике – 1.2М ₽
Наверное, все ведь знают, что XXE включает в себя импакт и от SSRF, и от чтения локальных файлов впридачу?
Так и вышло в рамках приватного конкурса в сервисах 360.

😀[contest] Повышение привилегий в рамках организации – 666К ₽
Собрать запросы с вызовами API от привилегированной учетной записи, а затем повторить их от самой слабой роли – простой и эффективный способ проверить баги в ролевой модели.
Один из последних отчетов из июньской приватки.

😀Возможность получить root-привилегии на актуальных устройствах – довольно ценный сценарий в рамках «Охоты». Исследователь смог успешно адаптировать эксплойт к CVE в драйверах ядра, за что получил заслуженные 500К ₽