Diario di sicurezza.
Pubblichiamo le scoperte dopo che sono state corrette e verificate — un breve riepilogo, mai una ricetta per l'exploit. I tempi di correzione stanno accanto a ogni voce.
Cosa è successo.
Revisione interna prima del lancio del programma
Il 15 luglio 2026 abbiamo avviato una revisione di sicurezza interna di CreateYourVPN. Le correzioni che abbiamo completato e riverificato sono pubblicate qui sotto; altre seguiranno man mano che verranno distribuite e confermate.
— Team CreateYourVPNAggiunta una protezione contro una configurazione cross-origin non sicura
La configurazione production attuale non consentiva origini arbitrarie, ma il codice permetteva una combinazione pericolosa di parametri se un operatore la configurava in modo errato. Quella combinazione ora viene rifiutata all'avvio ed è coperta da un test automatizzato.
— Team CreateYourVPNRidotta la superficie pubblica dell'API di production
La documentazione tecnica interattiva dell'API era raggiungibile senza autenticazione. Non dava accesso a dati protetti, ma rendeva più facile studiare la struttura interna dell'API. In production la documentazione ora è disattivata, pur rimanendo disponibile in un ambiente isolato per lo sviluppo.
— Team CreateYourVPNChiavi crittografiche della piattaforma separate per scopo
Una revisione interna ha rilevato che un unico segreto veniva usato per due compiti crittografici diversi. Questo non creava alcun bypass diretto, ma ampliava la portata di una compromissione della chiave. I due scopi sono stati separati e ciascuno ora ruota in modo indipendente.
— Team CreateYourVPNGarantita la cancellazione della chiave di gestione dopo l'eliminazione del server
La cancellazione della chiave di gestione cifrata avveniva dopo operazioni di rete in background e poteva non ripetersi se tali operazioni fallivano. Abbiamo disaccoppiato la cancellazione della chiave dalla cascata di rete e aggiunto un nuovo tentativo garantito. Gli scenari di server irraggiungibile e di processo interrotto sono coperti da test.
— Team CreateYourVPNRimosso un percorso di autorizzazione dell'API partner inutilizzato
L'API supportava un percorso di autorizzazione aggiuntivo basato su cookie di cui l'architettura server-side attuale non aveva bisogno. In production non è stato riscontrato alcun attacco cross-site, ma il percorso in più ampliava la superficie per errori futuri. L'API ora usa un unico metodo di autorizzazione definito esplicitamente, coperto da test negativi.
— Team CreateYourVPNÈ stato limitato l'accesso al pannello di gestione dell'infrastruttura
Un ricercatore esterno ha segnalato che un'interfaccia amministrativa di gestione dell'infrastruttura rispondeva da internet. L'interfaccia era protetta da autenticazione e non sono state trovate tracce di accessi non autorizzati. La segnalazione è stata accettata e l'accesso limitato.
L'interfaccia è ora raggiungibile solo da indirizzi autorizzati, i requisiti di autenticazione sono stati rafforzati e i componenti coinvolti aggiornati. Il risultato è stato verificato dall'esterno della nostra rete. Abbiamo inoltre riesaminato la nostra superficie pubblica e introdotto un controllo periodico. La ricompensa è stata pagata al livello più alto.
— Gaurang MahetaGli indirizzi e-mail degli utenti delle vetrine non vengono più conservati
Una persona inserisce la propria e-mail per accedere alla vetrina di un partner, ma l'indirizzo non resta da noi: l'e-mail con il codice parte e l'indirizzo viene eliminato subito. L'account è riconosciuto da un'impronta irreversibile dalla quale l'indirizzo non è ricostruibile, e nemmeno il nome dell'account lo contiene.
— Team CreateYourVPNOgni utente può reimpostare il proprio link di abbonamento
Un link di abbonamento è un segreto: chi lo possiede ottiene lo stesso accesso del titolare. L'utente può reimpostarlo da sé nella propria area personale: il link precedente smette di funzionare e le credenziali collegate vengono riemesse. Un link chiuso in questo modo resta chiuso, anche quando i dati vengono ripristinati da un backup.
— Team CreateYourVPNHeader di sicurezza sulle pagine delle vetrine
Le vetrine dei partner non inviavano gli header di sicurezza che il pannello e l'API inviavano già, tra cui quello che impedisce ad altri siti di mostrare la pagina in un iframe. Per questa via non era possibile leggere dati dell'account né sessioni. Ora l'insieme completo accompagna ogni risposta delle vetrine e l'affermazione SR-15 nomina ogni frontend che ospitiamo.
— Abhinav RajGestione delle sessioni e invio dei codici di accesso
In seguito alle segnalazioni di un ricercatore esterno abbiamo riesaminato due ambiti contigui: il ciclo di vita di una sessione partner e il percorso dell'e-mail con il codice di accesso. Nessuna delle segnalazioni dava accesso ad account, dati dei partner o traffico degli utenti.
Le modifiche all'invio dei codici di accesso sono rilasciate e verificate. Un'azione dedicata «esci da tutti i dispositivi» è in preparazione; fino ad allora la disconnessione termina la sessione corrente.
— Ganesh RKCosa finisce qui.
Riepiloghi e tempistiche
Il succo di una scoperta, la classe di vulnerabilità, la data di segnalazione e la data di correzione. Se una scoperta ha confutato un'affermazione SR — una correzione pubblica al report.
Ricette per l'exploit
Istruzioni passo passo, codice PoC e dettagli che aiuterebbero ad attaccare altri server prima che tutti aggiornino.
Hai trovato qualcosa?
Scrivici con un proof of concept riproducibile. Rispondiamo entro 72 ore e gestiamo il triage internamente.