HDW Sec

Offensive security company, R&D, zero-day vulnerabilities provider, Defensive guidances.

[HDW Sec @HDWSec]

Red team, day 3, 21:40. We leave an anonymous comment on the target's brochure site. The payload is not in the message, it is in the email address.

Comments are moderated, and that is exactly what we want.

Next morning, 09:12. Someone at the agency opens the moderation queue. They click nothing. Our code is already running in their admin session. By 14:30 we are on the web server.

No alert fires, because nobody treats this site as critical. Three zero-days in Contao, fixed in 5.3.50 and 5.7.12.

Full write-up, day by day: https://t.co/BtvXjQGuyT

#RedTeam #ZeroDay #Contao

[HDW Sec @HDWSec]

In 3 months, our engagements got 18 vulnerabilities fixed across 6 vendors: Microsoft, WordPress, Shopware, Contao, TYPO3, Grav. From zero-click to RCE, including 2 bugs in the WordPress core.

Test your systems before an attacker does. HDW Sec.

https://t.co/JqcY7NkeH7

#Cybersecurity #CVE #HDWSec #Exploit #Vuln #Offsec

[HDW Sec @HDWSec]

On a fait planter le contrôle d'accès d'un éditeur de logiciel de transport. Un jeton expiré la veille, un catch trop large, et l'API renvoyait toute la base : 48 219 données d'expéditions des clients, tarifs négociés compris.

Voici le retour d'audit complet.
https://t.co/GYbMp55nqp

#OWASP #AppSec

[HDW Sec @HDWSec]

On s'est fait typosquatter. Un domaine imitant le nôtre, acheté le 8 septembre, armé en sept jours : messagerie authentifiée, boîte aux lettres au nom de notre dirigeant, faux contrôle anti-robot qui trie les visiteurs.

Voici la qualification complète.

https://t.co/3F1KRgAlRi

#Typosquatting #DMARC

[HDW Sec @HDWSec]

Fixed in this Patch Tuesday, two vulnerabilities we reported to Microsoft:

Raw Image Extension Remote Code Execution Vulnerability (CVE-2026-69649), CVSS 8.8, rated Critical
HEVC Video Extensions Remote Code Execution Vulnerability (CVE-2026-58599), CVSS 7.8, rated Critical

Both are zero-click. The victim clicks on nothing. Windows calls these codecs by itself as soon as Explorer has to produce a thumbnail or a preview, so displaying a folder is enough for the attacker's file to be parsed. A network share, a saved attachment or a downloads folder will do.

https://t.co/ISm20fwxOU
https://t.co/DksByWku3K

All the vulnerabilities we have published are listed here: https://t.co/4FDXDVkPsR

#ZeroClick #PatchTuesday #Windows

[HDW Sec @HDWSec]

On vérifie la signature d'un paquet avant de l'installer. Un modèle d'IA, on le télécharge sans rien vérifier.

On en a ré-entraîné un chez nous : il écrit du code Python correct, et y ajoute une dépendance qu'on contrôle.
https://t.co/bSXcpnfTAA
https://t.co/CttNSksye1

[HDW Sec @HDWSec]

WPScan existe pour WordPress. L'équivalent pour Drupal n'existe pas.

On s'en est rendu compte en audit. On a écrit DrupEnum : énumération de modules, détection de version et vulnérabilités connues.

https://t.co/A4rCrywm0E
https://t.co/DtAdou2eUO

[HDW Sec @HDWSec]

Vous téléchargez un modèle d'IA sur Hugging Face pour le tester. Vous l'ouvrez. C'est tout : l'attaquant a déjà la main sur votre machine. Une centaine de modèles piégés comme celui-là y ont été trouvés. Le LLM03 OWASP, c'est ça.
#cybersecurite #IA #LLM
https://t.co/TYErzqTn0R

[HDW Sec @HDWSec]

On audite les sites web, rarement les applications mobiles. À tort.

Sur un audit, un simple lien de confiance suffisait à exfiltrer le jeton de session d'un utilisateur, dans le silence le plus complet. Un clic, et le compte est ouvert.

https://t.co/d6HRaoaokD

[HDW Sec @HDWSec]

France Travail : 5M€ d'amende, 36,8M de personnes exposées. Accès « trop larges », dit la CNIL.

La version la plus basique de cette faille ? Changer un chiffre dans une URL. 3 min pour ouvrir tous les dossiers d'une PropTech sur notre dernier audit 👇
https://t.co/T6ytkdid15

[HDW Sec @HDWSec]

Never type "claude ai" into Google!

A Google ad for an AI assistant, served from the vendor's real domain but hiding MacSync Stealer behind it: the ad blocker sees nothing,
the user runs the command, and the only signal that gave the trap away was five characters tucked into the URL: /share/.

Full analysis: https://t.co/XWTnBdRsh9

#Cybersecurity #macOS #Infostealer

[HDW Sec @HDWSec]

Un assistant IA e-commerce. Une question : "trois adresses de livraison parisiennes typiques".

Résultat : plusieurs centaines de profils clients réels exfiltrés à l'heure, sans aucun signal côté monitoring. Le LLM02 OWASP, c'est ça.

https://t.co/BgeOV2g9Eh

#cybersecurite #IA #LLM

[HDW Sec @HDWSec]

Sur du code, les IA progressent très vite.

Sur une capture hardware où il faut suivre des signaux et reconstruire une communication pour faire apparaître un message sur écran e-Ink, c’est moins évident.

Writeup FCSC 2026 - Tortoise Say :https://t.co/3keuAN4BFT

#FCSC2026

[HDW Sec @HDWSec]

486 M€ d’amendes CNIL en 2025. La sécurité des données en top 3 des motifs.
On a audité une startup InsurTech. Une injection SQL « basique » a suffi à exposer milliers d’assurés.

Entrée initiale ? Un mot de passe sauvegardé dans Chrome.

#Cybersécurité #CNIL #RGPD #SQLInjection #Pentest #InsurTech

https://t.co/m9F5rYRFb7

[HDW Sec @HDWSec]

Au FCSC 2026, l'IA a trouvé la faille. L'exploit, il a fallu le faire soi-même. Avec Mythos qui arrive, ce gap ne tiendra plus longtemps. Les CTF vont devoir se réinventer.
https://t.co/10YLwepxFC
#CTF #FCSC2026 #CyberSécurité

[HDW Sec @HDWSec]

Un document Word piégé sur un dossier partagé. Résultat : l'agent IA transfère tous les emails vers une adresse externe. Le prompt injection, faille n.1 OWASP LLM 2025, n'a rien de théorique.
Le détail ici : https://t.co/m0A6Tsfr6A
#cybersecurite #IA #LLM

[HDW Sec @HDWSec]

Le plus beau hack de l'histoire ? Celui dont personne n'a entendu parler.

C'est ce que Pierre a expliqué a des scénaristes dans un café. Ca a fini en 3 saisons de conseil technique sur une série TV.

Les détails ici :
https://t.co/67s9PQyQTP

#Cybersécurité #Hacking #Stalk

[HDW Sec @HDWSec]

Notre audit d'une banque en ligne révèle des vulnérabilités critiques : SQLi, Contournement du 2FA, faille IDOR...
https://t.co/Kv2zg1Ruf3