Notater fra pentest-jobber, dypdykk i Azure og Microsoft 365, og praktiske automatiseringstips.
16 min lesing
En ekstern pentest av en Firebase/Cloud Run SaaS: 974 brukere i klartekst, cross-tenant filmetadata og filskriving via dokument-API-ets egne endepunkter — og veggen jeg aldri kom forbi.
pentest · firebase · firestore · cloud-run · api-security · multi-tenant · ai · security
13 min lesing
En sanert gjennomgang av Avada-kjeden jeg brukte til å bevise filskriv, PHP-kjøring og WordPress-admin, med kontroller og opprydding.
pentest · wordpress · rce · cve · ai · security
11 min lesing
En Supabase-edge function aksepterte paymentMethod: invoice og ga gratis enterprise-abonnement. Her er hele kjeden, hva det låste opp, og regresjonen som holdt meg våken.
pentest · supabase · billing-bypass · oauth · security · ai
14 min lesing
Ekstern pentest av en AI-agentplattform med Tauri-desktopapp, web-app og MCP-server. Web-API-et var overraskende godt herdet. Skrivebordsappen var den myke underbuken.
pentest · tauri · desktop-security · mcp · ai · security
14 min lesing
Et pentest-oppdrag der passordene, databasen og koden holdt, men autorisasjonen sprakk. Her er PoC for en publisert produksjonspassord, en Coolify-webhook jeg fyrte av, og en RLS-bypass.
pentest · coolify · supabase · rls · security · webhook · cve
12 min lesing
Et uautentisert booking-API lekket bookinger og passord i klartekst på tvers av 56 skole-tenanter. Her er hele kjeden, fra subdomain-enumerasjon til den negative kontrollen som bekreftet bruddet.
pentest · api-security · idor · multi-tenant · ai · security
17 min lesing
Retesten av Kvittring AS gikk bredere enn første runde. API-isolasjonen holdt — men en lagret XSS i et SVG og en CSRF-bar API-nøkkel åpnet full kontroll på tvers av tenanter.
pentest · cross-tenant · xss · csrf · peppol · security
12 min lesing
En bilvaske-plattform lot meg opprette et premium-abonnement til 0 kr ved å sende et skjult program-ID og selv-erklære meg som firma. Hovedfunnet var forretningslogikk, ikke min feil.
pentest · business-logic · api-security · dotnet · security
27 min lesing
Ekstern test av hele estaten: en SSTI til full Craft-admin, admin123, og hardkodede nøkler som lå åpent i frontend og låste opp hele regnskapet. Hele funnregisteret med PoC-er.
pentest · ssti · craft-cms · idor · hardcoded-secrets · dmarc · ai · security
15 min lesing
Klovn AS lukket alle kritiske funn raskt. Likevel dukket nye høye funn opp i hver eneste retest-runde. Her er hva som holdt, hva som kom tilbake, og hva som var helt nytt.
pentest · retest · craft-cms · github · account-takeover · security
10 min lesing
De kjente middleware-bypass-CVE-ene i Next.js traff ikke — appen brukte global middleware, ikke en matcher. En usanert lead i kontaktskjemaet åpnet døren i stedet.
pentest · nextjs · xss · ai · security
24 min lesing
Oppfølger til container-pentesten: Poly sa alt var fikset. ~20 av 22 funn sto igjen — men kjernen var hardnet, og AI-svermen fant ingen vei inn til kronjuvelene.
pentest · azure · container-apps · ai · security
19 min lesing
Et oppslag så ut som et cross-tenant-brudd i en multi-tenant SaaS. Hele reproduksjonskjeden, de negative kontrollene som avgjorde alvorlighetsgraden, og tre funn jeg forkastet.
pentest · api-security · multi-tenant · ai · security
10 min lesing
Autorisert pentest av et multi-tenant regnskaps-API. Jeg kom ikke gjennom tenant-isolasjonen, men autorisasjonsmodellen rundt den hadde tre reelle hull.
pentest · api-security · multi-tenant · ai · security
8 min lesing
En AI-drevet WPScan-kjøring trigget WP Defenders 404-utlåsing og låste ut min egen IP. Kunne X-Forwarded-For spoofe meg forbi? Nei – og det er et godt tegn.
pentest · wordpress · waf · ai · security
8 min lesing
Kunden ville at jeg skulle legge inn en gratis ordre og misbruke bonuspoeng i Shopify-butikken. Det var lukket — men domenet kunne forfalskes.
shopify · pentest · ai · dmarc · email-spoofing
6 min lesing
En budsjettapp la hele tilstanden – inkludert abonnementsplanen – i én Supabase-tabell med RLS. RLS stoppet IDOR, men ikke at jeg ga meg selv gratis Familie-plan.
supabase · rls · pentest · nextjs · dmarc
7 min lesing
Oppdraget ba om RCE og masseuttrekk av brukerdata. Appen var for godt bygget — men origin-serveren lå åpent på nett og omgikk hele Cloudflare-laget.
pentest · security · cloudflare · nextjs
5 min lesing
En portefolje-URL i en AI-drevet rekrutteringsplattform ble hentet server-side, med redirect-following. Slik fant jeg den, hvordan filteret kunne omgås, og hvorfor resten av appen holdt.
ssrf · pentest · web-security · ai
4 min lesing
En fullt patchet WordPress-side motsto alt på web-laget. Veien inn gikk via DMARC p=none, brukerenumerering og manglende MFA.
wordpress · pentest · email-security · dmarc
4 min lesing
En onboarding-funksjon som scraper nettstedet ditt blokkerte alle de vanlige interne adressene — men ikke ::ffff:-varianten. Her er hvordan jeg fant det.
ssrf · security · pentest · cloud
12 min lesing
En uautentisert pentest der hoveddomenet var herdet bak Cloudways WAF, men kurs-subdomenene lekket admin-brukernavn og gikk med utdaterte Crocoblock-plugins — og en tredjeparts adtech-plattform eksponerte hele tenant-listen sin.
pentest · wordpress · security · api-security · third-party
17 min lesing
Funn og metodikk fra en autorisert ekstern pentest mot en Azure-basert SaaS — WAF-bypass via parallelle ACA-domener, OIDC-scope-misbruk, DMARC-spoofing, og et 'egenutviklet' CRM som viste seg å være en upatchet fork av et open-source-prosjekt.
pentest · azure · container-apps · oidc · security
1 min lesing
Et første innlegg om hva jeg vil skrive om — backend, sikkerhet, og pentesting.
meta