Во время пентеста api.your-app.com команда нашла и подтвердила две критические уязвимости, одну высокую и три средние. Все ошибки воспроизводимы. Под раздачу попали два хоста и 47 эндпоинтов. Всё, что было вне scope, отложили до следующего тестирования.
Самая опасная проблема — JWT signature bypass (CRITICAL, CVSS 8.6). Эндпоинт POST /v1/sessions/refresh принимал подделанный токен с отключённой проверкой подписи и возвращал 200 OK с правами администратора. К отчёту приложили скрипт для воспроизведения.
Второй серьёзный баг — SSRF через редиректы OAuth (HIGH, CVSS 7.4). Open redirect на POST /oauth/authorize позволял резолвить произвольные внутренние URL. Злоумышленник мог перенаправить жертву на внутренние серверы.
Остальные находки — среднего уровня опасности. В полном отчёте по каждому пункту есть доказательства и рекомендации по исправлению.