<![CDATA[Bezbedan Balkan - Neadekvatno zaštićeni resursi]]> https://bezbedanbalkan.net/ Tue, 27 Oct 2026 09:45:21 +0000 MyBB <![CDATA[stcable.net - Unauthenticated SOAP Endpoint]]> https://bezbedanbalkan.net/thread-2704.html Tue, 25 Aug 2026 07:40:49 +0000 grief]]> https://bezbedanbalkan.net/thread-2704.html SOAP API mogao sam da vidim kompletne lične podatke svih korisnika ovog servisa, uključujući njihova imena, adrese, email-ove, brojeve telefona, korisnička imena i lozinke u čitljivom (plaintext) obliku, kao i serijske brojeve preko 1400 smart kartica, aktivna firewall pravila i kompletnu listu svih dostupnih operacija za upravljanje sistemom.
.png find2.png Size: 252.18 KB  Downloads: 423
.png find4.png Size: 246.34 KB  Downloads: 419

Takođe sam mogao da vidim da su operacije za brisanje (deleteClient, deleteModem), izmenu (setClient, setModem) i resetovanje uređaja (resetModem) dostupne bez ikakve zaštite, što znači da bi neovlašćeni korisnik mogao da obriše sve korisnike, ugasi internet ili resetuje modeme bez ikakvog ograničenja.

Propust prijavljen i popravljen, nisam dobio ni hvala Big Grin !]]> SOAP API mogao sam da vidim kompletne lične podatke svih korisnika ovog servisa, uključujući njihova imena, adrese, email-ove, brojeve telefona, korisnička imena i lozinke u čitljivom (plaintext) obliku, kao i serijske brojeve preko 1400 smart kartica, aktivna firewall pravila i kompletnu listu svih dostupnih operacija za upravljanje sistemom.
.png find2.png Size: 252.18 KB  Downloads: 423
.png find4.png Size: 246.34 KB  Downloads: 419

Takođe sam mogao da vidim da su operacije za brisanje (deleteClient, deleteModem), izmenu (setClient, setModem) i resetovanje uređaja (resetModem) dostupne bez ikakve zaštite, što znači da bi neovlašćeni korisnik mogao da obriše sve korisnike, ugasi internet ili resetuje modeme bez ikakvog ograničenja.

Propust prijavljen i popravljen, nisam dobio ni hvala Big Grin !]]> <![CDATA[mirovinsko.hr - Blind XXE Injection (Out-of-Band DNS Interaction)]]> https://bezbedanbalkan.net/thread-2693.html Thu, 20 Aug 2026 18:32:03 +0000 grief]]> https://bezbedanbalkan.net/thread-2693.html Blind XInclude / XML Injection problem.
.png 011.png Size: 45.74 KB  Downloads: 510


Tok napada izgleda ovako:
Code:
Korisnički unos
→
Code:
server-side XML obrada
→
Code:
XInclude učitavanje eksternog resursa
→
Code:
OOB DNS interakcija

.png 0101.png Size: 38.25 KB  Downloads: 512

Prilikom slanja posebno kreiranog XML sadržaja aplikacija je napravila izlazni DNS zahtev ka eksternom serveru, što ukazuje da se korisnički kontrolisan XML obrađuje bez odgovarajuće zaštite.
Potvrđena je out-of-band DNS interakcija. Nije potvrđeno čitanje fajlova niti klasični XXE (DOCTYPE/ENTITY), već server-side XML/XInclude obrada.

Blind XXE je opasan zato što napadač ubaci zlonamerni XML koji server obradi, ali umesto da mu odmah vrati podatke u odgovoru, server ih potajno obrađuje u pozadini. Napadač onda može da natera server da čita fajlove sa samog sistema ili da pristupa servisima koji nisu dostupni spolja.]]> Blind XInclude / XML Injection problem.
.png 011.png Size: 45.74 KB  Downloads: 510


Tok napada izgleda ovako:
Code:
Korisnički unos
→
Code:
server-side XML obrada
→
Code:
XInclude učitavanje eksternog resursa
→
Code:
OOB DNS interakcija

.png 0101.png Size: 38.25 KB  Downloads: 512

Prilikom slanja posebno kreiranog XML sadržaja aplikacija je napravila izlazni DNS zahtev ka eksternom serveru, što ukazuje da se korisnički kontrolisan XML obrađuje bez odgovarajuće zaštite.
Potvrđena je out-of-band DNS interakcija. Nije potvrđeno čitanje fajlova niti klasični XXE (DOCTYPE/ENTITY), već server-side XML/XInclude obrada.

Blind XXE je opasan zato što napadač ubaci zlonamerni XML koji server obradi, ali umesto da mu odmah vrati podatke u odgovoru, server ih potajno obrađuje u pozadini. Napadač onda može da natera server da čita fajlove sa samog sistema ili da pristupa servisima koji nisu dostupni spolja.]]> <![CDATA[vostok.rs - XSS]]> https://bezbedanbalkan.net/thread-2692.html Thu, 20 Aug 2026 17:04:06 +0000 grief]]> https://bezbedanbalkan.net/thread-2692.html
.png vst.png Size: 12.95 KB  Downloads: 135
]]>
.png vst.png Size: 12.95 KB  Downloads: 135
]]> <![CDATA[magnotron.rs - XSS]]> https://bezbedanbalkan.net/thread-2691.html Thu, 20 Aug 2026 14:44:54 +0000 grief]]> https://bezbedanbalkan.net/thread-2691.html
.png fq.png Size: 8.25 KB  Downloads: 137
]]>
.png fq.png Size: 8.25 KB  Downloads: 137
]]> <![CDATA[oglasi.rs - Client Side Template Injection + XSS]]> https://bezbedanbalkan.net/thread-2679.html Thu, 13 Aug 2026 10:52:05 +0000 grief]]> https://bezbedanbalkan.net/thread-2679.html
.png t1.png Size: 15.32 KB  Downloads: 290
.png t2.png Size: 6.67 KB  Downloads: 290

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

.png xss1.png Size: 15.55 KB  Downloads: 288
.png xss2.png Size: 9.38 KB  Downloads: 292


Prijavljeno vise puta, ali bez odgovora..]]>
.png t1.png Size: 15.32 KB  Downloads: 290
.png t2.png Size: 6.67 KB  Downloads: 290

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

.png xss1.png Size: 15.55 KB  Downloads: 288
.png xss2.png Size: 9.38 KB  Downloads: 292


Prijavljeno vise puta, ali bez odgovora..]]> <![CDATA["SmartPark" automat za plaćanje parkinga - kiosk escape]]> https://bezbedanbalkan.net/thread-2657.html Thu, 30 Jul 2026 22:19:02 +0000 milos_rs]]> https://bezbedanbalkan.net/thread-2657.html Quote:"Kiosk escape" na automatima za kupovinu karata je bezbednosni propust gde neko iskoristi ranjivosti u softveru kioska kako bi "pobegao" iz ograničenog korisničkog interfejsa i dobio pristup osnovnom operativnom sistemu (npr. Windows) i njegovim funkcijama.
Nije poznato da li je automat neko doveo u stanje prikazivanja operativnog sistema ili se desilo usled greške u samom softveru koji je izbacio automat iz režima kioska i prikazao operativni sistem što se često dešava kod ovakvih automata.

.jpg sp1.jpg Size: 617.3 KB  Downloads: 128


.jpg sp2.jpg Size: 748.82 KB  Downloads: 125


.jpg sp3.jpg Size: 1.12 MB  Downloads: 126


.jpg sp4.jpg Size: 1.08 MB  Downloads: 127
]]> Quote:"Kiosk escape" na automatima za kupovinu karata je bezbednosni propust gde neko iskoristi ranjivosti u softveru kioska kako bi "pobegao" iz ograničenog korisničkog interfejsa i dobio pristup osnovnom operativnom sistemu (npr. Windows) i njegovim funkcijama.
Nije poznato da li je automat neko doveo u stanje prikazivanja operativnog sistema ili se desilo usled greške u samom softveru koji je izbacio automat iz režima kioska i prikazao operativni sistem što se često dešava kod ovakvih automata.

.jpg sp1.jpg Size: 617.3 KB  Downloads: 128


.jpg sp2.jpg Size: 748.82 KB  Downloads: 125


.jpg sp3.jpg Size: 1.12 MB  Downloads: 126


.jpg sp4.jpg Size: 1.08 MB  Downloads: 127
]]> <![CDATA[[HR] 24sata.hr - "24 Hej" četbot usluga - džejlbrejkovan]]> https://bezbedanbalkan.net/thread-2649.html Tue, 28 Jul 2026 09:17:21 +0000 milos_rs]]> https://bezbedanbalkan.net/thread-2649.html redditu postavio džejlbrejk za četbota koji se nalazi na sajtu 24sata.hr

džejkbrejk (jailbreak) je proces zaobilaženja ugrađenih bezbednosnih mehanizama u modelima veštačke inteligencije kako bi se oni primorali da generišu nedozvoljene odgovore.

.png dva1.png Size: 383.79 KB  Downloads: 158


.png dva2.png Size: 216.21 KB  Downloads: 160
]]> redditu postavio džejlbrejk za četbota koji se nalazi na sajtu 24sata.hr

džejkbrejk (jailbreak) je proces zaobilaženja ugrađenih bezbednosnih mehanizama u modelima veštačke inteligencije kako bi se oni primorali da generišu nedozvoljene odgovore.

.png dva1.png Size: 383.79 KB  Downloads: 158


.png dva2.png Size: 216.21 KB  Downloads: 160
]]> <![CDATA[B92 - b92.rs domen koji služi za preusmeravanje - istekao sertifikat]]> https://bezbedanbalkan.net/thread-2598.html Tue, 30 Jun 2026 11:36:37 +0000 milos_rs]]> https://bezbedanbalkan.net/thread-2598.html
Istekao mu je sertifikat pre 2 meseca :

.png b92c1.png Size: 151.46 KB  Downloads: 150


.png b92c2.png Size: 61.55 KB  Downloads: 147


.png b92c3.png Size: 29.89 KB  Downloads: 149
]]>
Istekao mu je sertifikat pre 2 meseca :

.png b92c1.png Size: 151.46 KB  Downloads: 150


.png b92c2.png Size: 61.55 KB  Downloads: 147


.png b92c3.png Size: 29.89 KB  Downloads: 149
]]> <![CDATA[[Aktivno] foxelectronics.rs - sakriveni spam linkovi]]> https://bezbedanbalkan.net/thread-2564.html Mon, 22 Jun 2026 10:43:51 +0000 Venis33]]> https://bezbedanbalkan.net/thread-2564.html
.png Screenshot From 2026-06-22 12-39-43.png Size: 84.46 KB  Downloads: 132
]]>
.png Screenshot From 2026-06-22 12-39-43.png Size: 84.46 KB  Downloads: 132
]]> <![CDATA[[Rešeno] (RS-BIH) Savez računovođa i revizora - curenje podataka preko forme]]> https://bezbedanbalkan.net/thread-2560.html Sun, 21 Jun 2026 11:51:12 +0000 Venis33]]> https://bezbedanbalkan.net/thread-2560.html Naišao sam na curenje podataka preko kontakt forme Saveza računovođa i revizora u Republici Srpskoj i uz pomoć @kernel_priest je ovaj problem rešen.

Rešenje koje su koristili je čuvalo prosleđene podatke sa stranice kontakt forme (broj telefona, mejl adresa, poruka, IP adresa, recaptcha token, itd) u bazu sa javnim prikazom putem kreiranih stranica u JSON formatu, umesto jednostavnog prosleđivanja na SMTP destinaciju. Ukoliko ne postoji job za čišćenje stranica nakon mesec dana, sudeći po njihovim datumima pojava je počela najranije početkom maja tekuće godine.

.png Screenshot From 2026-06-14 22-52-54.png Size: 33.62 KB  Downloads: 139


Rešenje je dodatno stvorilo i sitemap za stranice javnog prikaza podataka iz kontakt forme, tako da su se brzo sačuvali na Google pretrazi bez ikakvog prethodnog linkovanja.

.jpg Screenshot From 2026-06-15 00-41-06.jpg Size: 50.2 KB  Downloads: 148

Dan kasnije, problematične stranice su postale nedostupne zajedno sa sitemapom.

Međutim, kroz WP REST API su podaci i dalje bili dostupni.

.jpg Screenshot From 2026-06-15 10-15-25.jpg Size: 18.63 KB  Downloads: 143

Naknadno je i to rešeno.
.jpg Screenshot From 2026-06-21 13-46-22.jpg Size: 17.46 KB  Downloads: 131
]]> Naišao sam na curenje podataka preko kontakt forme Saveza računovođa i revizora u Republici Srpskoj i uz pomoć @kernel_priest je ovaj problem rešen.

Rešenje koje su koristili je čuvalo prosleđene podatke sa stranice kontakt forme (broj telefona, mejl adresa, poruka, IP adresa, recaptcha token, itd) u bazu sa javnim prikazom putem kreiranih stranica u JSON formatu, umesto jednostavnog prosleđivanja na SMTP destinaciju. Ukoliko ne postoji job za čišćenje stranica nakon mesec dana, sudeći po njihovim datumima pojava je počela najranije početkom maja tekuće godine.

.png Screenshot From 2026-06-14 22-52-54.png Size: 33.62 KB  Downloads: 139


Rešenje je dodatno stvorilo i sitemap za stranice javnog prikaza podataka iz kontakt forme, tako da su se brzo sačuvali na Google pretrazi bez ikakvog prethodnog linkovanja.

.jpg Screenshot From 2026-06-15 00-41-06.jpg Size: 50.2 KB  Downloads: 148

Dan kasnije, problematične stranice su postale nedostupne zajedno sa sitemapom.

Međutim, kroz WP REST API su podaci i dalje bili dostupni.

.jpg Screenshot From 2026-06-15 10-15-25.jpg Size: 18.63 KB  Downloads: 143

Naknadno je i to rešeno.
.jpg Screenshot From 2026-06-21 13-46-22.jpg Size: 17.46 KB  Downloads: 131
]]> <![CDATA[dimitrovgrad.rs - XSS]]> https://bezbedanbalkan.net/thread-2521.html Thu, 04 Jun 2026 22:54:10 +0000 grief]]> https://bezbedanbalkan.net/thread-2521.html
.png dimi.png Size: 33.91 KB  Downloads: 140
]]>
.png dimi.png Size: 33.91 KB  Downloads: 140
]]> <![CDATA[rsv.co.rs - SQLi]]> https://bezbedanbalkan.net/thread-2519.html Thu, 04 Jun 2026 20:11:55 +0000 grief]]> https://bezbedanbalkan.net/thread-2519.html
.png 7.png Size: 42.17 KB  Downloads: 150

Ranjivost prijavljena.]]>
.png 7.png Size: 42.17 KB  Downloads: 150

Ranjivost prijavljena.]]> <![CDATA[FlixBus app - komentar iz koda u notifikaciji]]> https://bezbedanbalkan.net/thread-2517.html Thu, 04 Jun 2026 16:36:58 +0000 milos_rs]]> https://bezbedanbalkan.net/thread-2517.html
.jpeg flixb1.jpeg Size: 79.06 KB  Downloads: 144
]]>
.jpeg flixb1.jpeg Size: 79.06 KB  Downloads: 144
]]> <![CDATA[ulaznice.hr / gnkdinamo.hr - IDOR]]> https://bezbedanbalkan.net/thread-2516.html Thu, 04 Jun 2026 14:55:25 +0000 grief]]> https://bezbedanbalkan.net/thread-2516.html Na web aplikaciji GNK Dinamo identifikovana je ranjivost tipa Insecure Direct Object Reference (IDOR) koja je omogućavala neovlašćen pristup ličnim podacima članova kluba.

API endpoint:
Code:
getMemberData
vraćao je kompletne podatke člana na osnovu barkoda članske karte.

Iako je pristup endpointu zahtevao validan JWT token, nije postojala adekvatna autorizaciona provera koja bi potvrdila da prijavljeni korisnik ima pravo pristupa traženim podacima.
Posledično, korisnik sa običnim nalogom, čak i bez aktivnog članstva, mogao je slanjem zahteva sa proizvoljnim barkodom da pristupi podacima drugih članova kluba.

Ranjivi endpoint:
Code:
GET /conn/9/v1/memberships/getMemberData/{barcode} Authorization: Bearer [JWT_TOKEN]
Prilikom obrade zahteva aplikacija je proveravala validnost JWT tokena, ali nije proveravala da li barkod naveden u URL putanji pripada autentifikovanom korisniku.
Ranjivost je sada popravljena.

Druga ranjivost je trenutno prisutna na ulaznice.hr.
 Menjanjem vrednosti identifikatora u URL-u moguće je pristupiti potvrdama kupovine koje pripadaju drugim korisnicima, bez provere vlasništva nad konkretnom narudžbom.
.png ulaznica.png Size: 343.47 KB  Downloads: 538
.png ulaznica2.png Size: 272.18 KB  Downloads: 498

S obzirom da sistem prikazuje podatke direktno kroz URL sa sekvencijalnim identifikatorima, eksploatacija ne zahteva posebne tehničke veštine niti privilegovan pristup.

Propust prijavljen..]]> Na web aplikaciji GNK Dinamo identifikovana je ranjivost tipa Insecure Direct Object Reference (IDOR) koja je omogućavala neovlašćen pristup ličnim podacima članova kluba.

API endpoint:
Code:
getMemberData
vraćao je kompletne podatke člana na osnovu barkoda članske karte.

Iako je pristup endpointu zahtevao validan JWT token, nije postojala adekvatna autorizaciona provera koja bi potvrdila da prijavljeni korisnik ima pravo pristupa traženim podacima.
Posledično, korisnik sa običnim nalogom, čak i bez aktivnog članstva, mogao je slanjem zahteva sa proizvoljnim barkodom da pristupi podacima drugih članova kluba.

Ranjivi endpoint:
Code:
GET /conn/9/v1/memberships/getMemberData/{barcode} Authorization: Bearer [JWT_TOKEN]
Prilikom obrade zahteva aplikacija je proveravala validnost JWT tokena, ali nije proveravala da li barkod naveden u URL putanji pripada autentifikovanom korisniku.
Ranjivost je sada popravljena.

Druga ranjivost je trenutno prisutna na ulaznice.hr.
 Menjanjem vrednosti identifikatora u URL-u moguće je pristupiti potvrdama kupovine koje pripadaju drugim korisnicima, bez provere vlasništva nad konkretnom narudžbom.
.png ulaznica.png Size: 343.47 KB  Downloads: 538
.png ulaznica2.png Size: 272.18 KB  Downloads: 498

S obzirom da sistem prikazuje podatke direktno kroz URL sa sekvencijalnim identifikatorima, eksploatacija ne zahteva posebne tehničke veštine niti privilegovan pristup.

Propust prijavljen..]]> <![CDATA[it-akademija.com - Open Redirect]]> https://bezbedanbalkan.net/thread-2514.html Thu, 04 Jun 2026 02:20:43 +0000 grief]]> https://bezbedanbalkan.net/thread-2514.html https://www.it-akademija.com//evil.com/

Double slash // problem

.png ITITTITITT.png Size: 3.14 KB  Downloads: 283

.png it2.png Size: 2.69 KB  Downloads: 279
]]> https://www.it-akademija.com//evil.com/

Double slash // problem

.png ITITTITITT.png Size: 3.14 KB  Downloads: 283

.png it2.png Size: 2.69 KB  Downloads: 279
]]>