Hasty Briefsbeta

双语

How to hack Discord, Vercel and more with one easy trick

5 months ago
  • #vulnerability
  • #documentation
  • #security
  • Mintlify是一个B2B SaaS文档平台，客户包括Discord、Vercel和Cursor等公司。
  • 发现Mintlify的MDX渲染存在远程代码执行漏洞（CVE-2025-67843），可实施服务端代码注入。
  • 利用该RCE漏洞窃取了环境变量和应用程序文件等敏感数据。
  • 通过静态资产路由发现定向XSS漏洞（CVE-2025-67842），可在客户域名上实现一键XSS攻击。
  • 使用URL编码的路径遍历绕过了定向XSS的初始补丁（CVE-2025-67845）。
  • 发现其他非关键漏洞：GitHub IDOR（CVE-2025-67844）和降级攻击漏洞（CVE-2025-67846）。
  • 影响包括对大型企业的潜在供应链攻击、页面篡改、XSS及代码库访问权限获取。
  • Mintlify迅速修复所有漏洞，并为发现漏洞支付了5,000美元奖金。
  • 与独立发现相似漏洞的研究员Hackermon和MDL进行了协作调查。
About|Login