Мдэ...

А хуже всего, когда в подобных случаях ещё и наезжают/угрожают!

А-ля "Ты хто такой? Шо те от нас надо? Зойчем ты нас ковыряешь? Канай отсюда, не то в грызло!"

Поэтому, исходя из своего личного опыта и по совету олдов баг хантинга, принял решение больше не связываться с компаниями без BBP! И теперь участвую только в официальных программах!

Бывает, правда, что при исследованиях натыкаешься на баги в 3d party services/apps, и если они out of scope, то иногда приходится самому искать контакты/связываться и всё им объяснять. Некоторые компании благодарят за это не тока письменно. Но эт редко, канешна.

Да вроде нет, не гуглится. Как там говорят, пока гром не грянет...

Тут остаётся только верить и не отчаиваться. После N-ного количества раз пердак перестаёт взрываться и подгорать

В любом случае, после фикса планирую обнародовать здесь подробности, заценим

Интересно будет посмотреть

Пардон за небольшую задержку Попросили немного подождать с публикацией деталей.

Уязвимость была в функционале сортировки офферов. В куки параметре form_filter хранилось сериализованное состояние текущего фильтра, что позволяло совершить атаку вида PHP Object Injection.

Картина осложнялась тем, что привычные классы, для которых есть общеизвестные цепочки, отсутствовали, либо лежали в другом пространстве имён. К счастью, по стандартному пути composer-a ( /vendor/composer/installed.json ), ожидал небольшой сюрприз В виде единственной либы phpseclib. Которая, после небольшого исследования, позволила эскалировать угрозу до Remote Code Execution:

Для любителей поковыряться, в аттаче прилагается небольшая лаба, моделирующая этот кейс. Для крафта цепочки, теперь уже можно воспользоваться PHPGGC, или комплектным скриптом из видео.

Что касается реакции M1-SHOP. Внимательно выслушали, приняли к сведению, поблагодарили и отблагодарили финансово $1k Уязвимость исправили заменой дефолтной сериализации на JSON.

Так же, попутно, был отправлен ещё один отчёт, который оценили как некритичный, с пометкой:

И дали на чай, те самые "2000 руб" которые поджарили пердак ТС-у

В целом, по первоначальной ситуации, кто прав, кто виноват, судить не возьмусь. Но у меня, по сотрудничеству, остались только положительные впечатления. А вывод таков, что с багами ниже чем RCE на проде, ребят нет смысла беспокоить и не стоит тешить себя надеждами