Находки
10 открытых на acme.ai. У каждой — доказательство, цена в ₽/ч и готовый фикс.
Токен OpenAI в JS-бандле app.acme.ai/main.js
39 900–114 000 ₽/чПассивноapp.acme.ai
Ключ Anthropic в истории репозитория acme/ml-demo
51 300–85 500 ₽/чПассивноgithub.com/acme
Ray Dashboard открыт на ray.acme.ai:8265
2 900–6 100 ₽/чПосле TXTray.acme.ai
Ollama без аутентификации на gpu-1.acme.ai:11434
1 500–3 000 ₽/чПосле TXTgpu-1.acme.ai
Утечка системного промпта бота, нет лимитов частоты
7 500–22 800 ₽/чС согласиемhf.co/spaces/acme/support-bot
Qdrant открыт: vec.acme.ai:6333 /collections
эмбеддинги базы знаний и тикетовПосле TXTvec.acme.ai
Висящий CNAME: docs.acme.ai → удалённый проект Vercel
захват поддомена: фишинг и кража cookie *.acme.aiПассивноdocs.acme.ai
staging.acme.ai без аутентификации
карта API и возможный доступ к копии прод-данныхПосле TXTstaging.acme.ai
DMARC p=none — письма от @acme.ai можно подделать
BEC-фишинг клиентам от имени acme.aiПассивноMX acme.ai
Двойник acme-Iogin.ai с настроенной почтой
фишинг клиентов и сотрудниковПассивноacme-Iogin.ai
Токен Hugging Face в слое Docker-образа acme/inference
ущерб предотвращёнПассивноhub.docker.com/u/acme