Nuri Çilengir

Vulnerability Researcher @trendyoltech, ex @prodaft, @pentestblog

[Nuri Çilengir @ncilengir]

Ey Türk gençliği! Birinci vazifen; Türk istiklalini, Türk cumhuriyetini, ilelebet muhafaza ve müdafaa etmektir.

Yaşasın Cumhuriyet. 🇹🇷

[Nuri Çilengir @ncilengir]

@mcipekci @SynackRedTeam @synack 👌🏼💪🏼

[Nuri Çilengir @ncilengir]

Legend @brkalbyrk7 🫡👀

[Berk Albayrak @brkalbyrk7]

When Your IDE Becomes a RCE Endpoint

Your IDE is basically one launch away from running someone else's code.

If your devs use Cursor, Windsurf, or any VS Code fork, the extensions they think they trust can quietly point to code nobody legitimate owns. We've been digging into this for a month and it's bad.

So, as the CSOC and AppSec teams, we compared every extension on both registries (129K on Microsoft's Marketplace vs 14K on OpenVSX).

🔓 104,456 with no entry on OpenVSX at all, every one a free namespace someone can grab (open for supply chain attacks)
👤 1,078 resolving to a different publisher
🎯 126 straight-up ID hijacks, including sumneko.lua and rust-lang.rust

Wrote the whole thing up 👇:

[Rıza @rizasabuncu]

Bir süredir public MCP ler üzerine çalışmalar yürütüyorum, bu çalışmaların sonucunda AI powered MCP honeypot geliştirdim, incelemek, katkı sağlamak isteyenleri buraya alalım 🫡

https://t.co/jr771qcMvr

[Rıza @rizasabuncu]

https://t.co/nxZn7EsBvz’e destek olmak için pizza/kahve gönderen herkese teşekkür ederim 🖤

projenin şu an aktif bir maliyeti olmadığı için tüm bağışların üstüne 2x koyup LÖSEV’e bağış yaptım. Ayrıca footer’a da bağış linki ekledim 🎉

kesenize bereket <3

[Nuri Çilengir @ncilengir]

#Hedef27💛❤️

[Nuri Çilengir @ncilengir]

Kesinlikle haklısın, böyle bir durum da var fakat çalışan eksikliği giderilse bile yukarıda anlatmaya çalıştığım sorunun ortadan kalkacağını sanmıyorum. Dediğin gibi KPI / metrik hususu öncelik sadece üst yönetim için. Konunun orada tam anlamıyla güvenlik ile bir ilgisi olduğunu düşünmüyorum.

Triager’lar için “anlamıyor” derken kastım şu aslında raw zafiyetlerin dışında, business critical ve data related zafiyetlerde hacker uygulamayı ve kurumu triager’dan çok daha iyi tanıyor, daha iyi analiz ediyor. Asıl vakit de tam olarak buna ayrılmalı çünkü mevzu doğrudan client impact’e dokunuyor.

Şimdi platformların çoğu ai assisted triage’a geçmeye başladı ya da deniyor. Açıkçası burada da ciddi bir iyileştirme olacağını sanmıyorum çünkü trust ettikleri data yine kendilerinin geçmişteki triage davranışı. Yani aynı mindset’i bu sefer ölçeklendirip otomatize etmiş olacaklar :)

[Nuri Çilengir @ncilengir]

Bu sadece HackerOne’a özgü bir durum değil, diğer bounty platformlarının çoğu da benzer şekilde bazı zafiyetleri client’a escale etmiyor. Burada iki taraflı bir hata var ama büyük pay kesinlikle bounty şirketlerinin. Triager’ların default davranışı şu: Bu zafiyeti client’a escale etsem kayda zorbalanır mıyım? Misconfiguration vb. bir şey için pool’u düşürmeye gerek var mı? Bu sorgunun altında bir cybersecurity mindset’i maalesef yok çünkü ürünü SQLi, RCE, SSRF gibi kendilerince kritik gördükleri raw zafiyet vaatleri üzerinden satıyorlar. Öte yandan triager’lar büyük security know-how’a sahip ekiplerden oluşmuyor ve security know-how’u olmasını umduğum insanlar tarafından manage ediliyorlar. Bir zafiyetin x ile chain’lendiğinde neye sebebiyet vereceğini ya da o business için ne anlama geldiğini sallamadığı/anlamlandıramadığı onlarca case yaşadım. Bu tip durumlarda zafiyeti genelde direkt client’a kendim iletiyorum. İşin komik yanı, bu platformların agentic/AI baser olarak sattığı/satacağı çözümler de aynı kapıya çıkacak çünkü trust ettikleri data tam olarak bunu içeriyor :) Ezcümle şirketlerin gerçek bir security kaygısı varsa bug bounty platformlarını çözüm değil, addition olarak görmeleri gerekiyor.

[0x496 @gkhck_]

Evet sonunda hackerone triagerlarının bu işi bilmediklerini gösteren bir olay olmuş. Büyük bir çoğunluğu gerçekten çok kötüler. Lovable'ın "all reports" kavramı çok dikkat çekici, yani bu raporlara birden fazla triager bakmış olabilir. Artık bi aksiyon alınır umarım.

[Nuri Çilengir @ncilengir]

Arka arkaya koysam ansiklopedi uzunluğundaki pentest raporlarının çıktısı olarak promt engineering yani dert anlatabilme sanatını elde ettim teşekkürler sekuriti.

[Nuri Çilengir @ncilengir]

Ahahahahahahaaha boynu bükükler ❤️💛

[Nuri Çilengir @ncilengir]

@UgurOzsari Haklının acelesi yok abey :):):):)/

[Hüseyin Kıyıcı @hkiyici]

Doğum günümdü…

[Nuri Çilengir @ncilengir]

pentesting and ai situation is pretty clear. as costs go down, ai is definitely going to take over the deterministic and result-oriented industrial tasks. but for critical infrastructure and custom work that needs manual depth, it’ll just be best assistant. short term, we’re looking at an "assisted" era rather than a full replacement.

[Nuri Çilengir @ncilengir]

New blog is live 👋 https://t.co/KtSqm5UGkP

Haven't been able to share much of my vuln research and security work publicly for a while. First post dropping soon, a writeup on a journey from 1-day to 0-day. More research and writeups on the way.

Stay tuned 👀

[Nuri Çilengir @ncilengir]

Canımız sağolsun çocukluk aşkım 💛❤️

[Nuri Çilengir @ncilengir]

I love 1-day vulnerabilities because every time I mess with a one-day exploit, it somehow turns into a 0-day \m/

[Nuri Çilengir @ncilengir]

After 12 years on Arch, I had to use Windows for a short while and it reminded me how trash it is. Still young enough to keep running Arch 😄🐧

[dunadan @udunadan]

Vulnerability research is the loneliest job in the world.

[Nuri Çilengir @ncilengir]

@umutluoglu Yaşım <35 yukarıda olan/olmayan bircok tr geliştirci forumunda bulundum :(

[Nuri Çilengir @ncilengir]

@mucahic + Yeni mezun olmayan, öğrenci dolandıran (iş bulma garantili, bounty yapma garantili), umut satan sizler de yapmayın…