Wie wird der Scope eines Web- und API-Pentests festgelegt?
Wie Unternehmen den Scope eines Web- und API-Pentests festlegen: Systeme, Rollen, Geschäftsrisiken, Testmethoden und klare Rules of Engagement.
IT-Security Insights
Blog
Fachbeiträge für Unternehmen und Entwicklungsteams sowie technische Analysen zu Pentesting, Secure Development, Schwachstellenforschung und Bug Bounty.
Die Beiträge verbinden konkrete Schwachstellen, Angriffsketten und Praxiserfahrungen mit der Frage, welche Konsequenzen sich daraus für Anwendungen, Entwicklungsprozesse und Sicherheitsentscheidungen ergeben.
Security für Unternehmen und Entwicklungsteams
Beitrag lesen
Open Redirects – wenn eine kleine Umleitung zum großen Risiko wird
Manchmal genügt ein einzelner Parameter wie redirect_to, um den Sprung von einer harmlosen Weiterleitung zu einem echten Sicherheitsrisiko zu machen.
LesenXSS never dies
Warum Cross-Site Scripting trotz moderner Frameworks relevant bleibt und welche Annahmen in der Praxis häufig scheitern.
LesenSecurity Research und CVEs
CVE-2025-54531
Path Traversal beim Entpacken von Plugins in JetBrains TeamCity vor 2025.07 ermöglichte unter Windows beliebigen Datei-Write.
LesenCVE-2024-47950
Gespeichertes Cross-Site Scripting in den Backup-Einstellungen von JetBrains TeamCity vor 2024.07.3.
LesenCVE-2024-47949
Path Traversal in JetBrains TeamCity vor 2024.07.3 ermöglichte das Schreiben einer Backup-Datei an einen beliebigen Pfad.
LesenCVE-2024-47948
Path Traversal in JetBrains TeamCity vor 2024.07.3 ermöglichte über Server-Backups die Offenlegung lesbarer Dateien.
LesenCVE-2024-56353
Eine Backup-Datei in JetBrains TeamCity vor 2024.12 legte Zugangsdaten und Session-Informationen offen.
LesenROP in einer Format-String-Schwachstelle
Technische Lab-Analyse einer Format-String-Schwachstelle bis zur kontrollierten ROP-Chain und Exploit-Entwicklung.
LesenBug Bounty und Community
Warum KI-generierte Bug-Bounty-Reports häufig scheitern
KI kann Quellcode schnell analysieren, doch viele automatisch erzeugte Bug-Bounty-Reports bleiben ohne reproduzierbaren Impact. Welche Qualitätskriterien fehlen und wo KI sinnvoll unterstützt.
LesenDuplicates im Bug Bounty: Warum sie nicht nur Rückschläge sind
Auch wenn Duplicates im Bug Bounty zunächst enttäuschen, sind sie oft der Schlüssel zu Reputation, Private Invites und langfristigem Erfolg.
LesenRecon für Einsteiger – strukturiert nach Schwachstellen suchen
Praxisorientierter Einstieg in strukturierte Recon, sichere Testumgebungen, geeignete Werkzeuge und nachvollziehbare Beispiel-Workflows.
LesenDein erstes Bug-Bounty-Programm – Scope lesen und verstehen
Viele Einsteiger im Bug Bounty Hunting stellen sich dieselbe Frage: Wo fange ich an?
LesenBug Bounty Hunting – Tipps für den Einstieg
Bug Bounty Hunting klingt nach schnellem Geld – aber die Wahrheit ist: Es ist ein Marathon, kein Sprint.
Lesen