«Международная операция правоохранительных органов, координируемая Европолом, нанесла серьезный удар по преступному подполью: в десяти странах арестованы 270 продавцов и покупателей даркнета, — сообщает Европол. — Операция RapTor привела к ликвидации сетей, занимающихся торговлей наркотиками, оружием и контрафактной продукцией, а также послужит четким сигналом для преступников, скрывающихся за мнимой анонимностью».

Параметр user_id=1234? — Меняй. Всегда.
Параметр email, username, account_id, document_id, image_id, order_id? — Меняй.
Не важно, что нет ошибки. Даже если ответ — просто 403, это уже может быть проверка на backend’е, и баг проявляется в другом методе.

Смена email — это точка управления аккаунтом.
Если можно сменить почту без подтверждения старой, без токена, или даже просто через IDOR — ты управляешь чужим аккаунтом.
Плюс: после смены многие системы позволяют сбросить пароль через новый email → Account Takeover.

Остаётся ли старая сессия после смены пароля?
Работает ли старый 2FA код дважды?
Можно ли активировать Magic Link/OTP несколько раз?
Если да — это уже повод накатать репорт.

IDOR + логика
Отсутствие подтверждения действий (email, 2FA, delete)
Логика доступа между ролями
Баги в API, особенно с PUT, PATCH, DELETE

Email change / password reset flow
Sharing/token-based доступы
Скачивание и просмотр чужих файлов
API с параметрами user/account/id

🧠 Что раскрывает Swagger:
Полный список всех API-эндпоинтов, включая приватные.

Методы (GET, POST, PUT, DELETE) — можно сразу тестить бизнес-логику.

Все параметры и структура запроса, включая тела, вложенные поля, типы.

Иногда — автоматически подставленный токен (в UI авторизации).

Возможность выполнять запросы прямо из браузера без доп. инструментов.

⚠️ Чем это опасно:
Быстрый поиск уязвимостей типа IDOR, Auth Bypass, PUT/DELETE без auth.

Выявление админских методов, внутренних API, незадокументированных фич.

Утечка токенов или ключей прямо в UI (особенно в dev/stage окружениях).

Автоматизация через nuclei — можно отсканировать тысячи доменов на наличие Swagger за минуты.

✅ Что должен сделать защитник:
❌ Удалить Swagger из production-окружения.

🔐 Закрыть его auth'ом и доступом только по VPN или IP whitelist.

🌍 Проверить, не открыт ли staging/dev (обычно там Swagger открыт по умолчанию).

🔎 Прогнать свои домены nuclei -tags panel -severity low,medium.

Инструменты:
LinkFinder — извлечение путей из JS
SecretFinder — поиск токенов и ключей
subjs — сбор всех JS-файлов с сайта

subfinder -d internal.target.com -silent | httpx -match-js -paths / -o js_hosts.txt
cat js_hosts.txt | subJS | tee js_urls.txt
cat js_urls.txt | LinkFinder.py -i stdin -o cli > endpoints.txt
cat js_urls.txt | SecretFinder.py -i stdin -o cli > secrets.txt

🪧 Рекомендации:

- Обновиться до актуальной версии ОС;
- Не запускать быстрые команды из непроверенных источников;
- Проверять содержимое ~/Library/Shortcuts.

Рекомендуется проверять:
🔜есть ли ограничение на количество попыток ввода кода,
🔜не остаются ли активными сессии после включения 2FA,
🔜уязвим ли функционал резервных кодов и восстановления пароля к CSRF или подмене заголовков (Host, X-Forwarded-Host).