Blog
Gedanken zu Entwicklung, Design und allem drumherum.
9/12/2026
Eine Nonce in der Seite ist kein Geheimnis, und das Plugin wusste es
Ein Business-Innovationsnetzwerk betrieb eine gepatchte Content-Plattform mit vierzehn Befunden. Der interessante war eine aktivierte Funktion, die ihre eigenen Request-Token im Seitenquelltext veröffentlichte.
wordpresspluginnonceattack-surface
8/22/2026Die API-Dokumentation war öffentlich, und sie war die beste Karte, die man sich wünschen kann
Eine mit einem automatisierten Framework gebaute Anwendung lieferte interaktive Dokumentation und ein maschinenlesbares Schema an einem bekannten Pfad. Beides war standardmäßig aktiviert und keines hinter einem Login.
api-documentationfastapiattack-surfacedefault-configuration
5/23/2026Eine Single Page Application liefert ihre Routenkarte selbst aus
Eine moderne Framework-Anwendung mit fast keiner serverseitigen Angriffsfläche legte ihre Verwaltungsoberfläche trotzdem offen, weil die Routentabelle in das Client-Bundle kompiliert wird.
spaangularbundle-analysisattack-surface