Sikkerhetsjournal.
Vi publiserer funn etter at de er rettet og verifisert — et kort sammendrag, aldri en oppskrift på en utnyttelse. Rettetidene står ved siden av hver oppføring.
Hva som har skjedd.
Sårbarheten CVE-2026-98432 i Linux-kjernen er lukket
Det ble funnet en sårbarhet, CVE-2026-98432, i måten Linux-kjernen håndterer innkommende TCP-tilkoblinger på. Den berører Linux-servere uansett hvilken tjeneste de kjører.
Kjernene på plattformens servere og på partneres aktive VPN-servere med støttede systemversjoner er oppdatert til en versjon med rettelsen.
— CreateYourVPN-teametSamkjørte grenser for det offentlige støtteskjemaet
En rapport fra Parth Narula viste at man med en annen e-postadresse kunne sende ekstra henvendelser via det offentlige støtteskjemaet vårt. Vi har samkjørt grensene i skjemaet, slik at en annen adresse ikke lenger gir ekstra henvendelser. Takk for ansvarlig rapportering.
— Parth NarulaTilgangen til brukerstøttegrensesnittet er begrenset
En ekstern forsker gjorde oppmerksom på at brukerstøttegrensesnittet var tilgjengelig fra internett. Grensesnittet krevde autentisering; det ble ikke funnet tegn på uautorisert tilgang eller eksponering av brukerdata.
Vi har fjernet brukerstøttesystemet fra den offentlige overflaten: tilgang er bare tillatt fra klarerte adresser og via en intern kanal. Grensesnittets innstillinger er tilpasset domenet som er i bruk, og begrensningen er kontrollert fra et eksternt nettverk.
— VimalatithyanReturadressen er begrenset til panelets sider
En sikkerhetsforsker oppdaget at den interne returadressen etter gjenoppretting av en økt kunne tolkes av nettleseren som navigering til et eksternt nettsted. Scenariet krevde en gyldig økt og ga ikke tilgang til kontoen eller data.
Returadressen velges nå fra en lukket liste over interne sider. Enhver annen verdi fører til panelets startside. Rettelsen er dekket av automatiske negative tester.
— AnonymousDMARC-håndheving aktivert
En sikkerhetsforsker oppdaget at DMARC-policyen for createyourvpn.com bare kjørte i overvåkingsmodus og ikke krevde avvisning av meldinger som ikke bestod kontrollen. Vi aktiverte p=reject for hoveddomenet og sp=reject for underdomenene som ikke sender e-post. Transaksjonsmail er fortsatt isolert på separate avsenderunderdomener med egne SPF-, DKIM- og DMARC-policyer.
— A Sai VardhanMTA-STS og TLS-rapportering aktivert
En sikkerhetsforsker oppdaget at MTA-STS og TLS-rapportering ikke var konfigurert for innkommende e-post på createyourvpn.com. Vi publiserte en MTA-STS-policy og aktiverte TLS-rapportering. Policyen kjører først i testmodus mens vi kontrollerer videresendingsveien hos tredjeparten; håndheving aktiveres etter feilfrie rapporter.
— A Sai VardhanKontroll over kontoøkter lagt til
En sikkerhetsforsker oppdaget at en kopi av tokenet for en partnerøkt kunne forbli aktiv etter utlogging hvis den var blitt fornyet separat. Vi flyttet øktene til én felles serveridentitet: utlogging tilbakekaller nå hele den gjeldende økten, mens «Logg ut overalt» avslutter alle aktive økter.
I panelet er seksjonen «Kontoøkter» lagt til. Der vises gjeldende pålogginger med enhet, IP-adresse, påloggingstidspunkt og siste aktivitet, i tillegg til historikken over vellykkede og mislykkede påloggingsforsøk for de siste 90 dagene. Hver økt kan avsluttes enkeltvis, eller alle kan avsluttes på én gang.
— A Sai VardhanEnabled DNSSEC
A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.
— Waqar JamalSterkere beskyttelse av det offentlige støtteskjemaet
Sikkerhetsforskeren 0xVicky oppdaget at det offentlige støtteskjemaet vårt kunne misbrukes til å sende for mange henvendelser. Vi har lagt til grenser per besøkende og for den samlede trafikken, beskyttet skjemaets interne innsendingskanal og styrket kontrollen av vedlegg. Takk for ansvarlig rapportering.
— 0xVickyHåndtering av økter og utsending av innloggingskoder
Etter rapporter fra en ekstern forsker gjennomgikk vi to tilgrensende områder: livssyklusen til en partnerøkt og veien e-posten med innloggingskoden tar. Ingen av funnene ga tilgang til kontoer, partnerdata eller brukertrafikk.
— Ganesh RKSikkerhetsheadere på butikksidene
Partnernes butikker sendte ikke sikkerhetsheaderne som panelet og API-et allerede sendte — blant dem den som forbyr andre nettsteder å vise siden i en ramme. Kontodata eller økter kunne ikke leses den veien. Hele settet følger nå med hvert svar fra butikkene, og påstand SR-15 navngir hver frontend vi drifter.
— Abhinav RajBrukeren kan tilbakestille abonnementslenken sin selv
En abonnementslenke er en hemmelighet: den som har den, får samme tilgang som eieren. Brukeren kan tilbakestille den selv i kontoen sin — den forrige lenken slutter å virke, og tilgangene bak den utstedes på nytt. En lenke som er stengt på denne måten, forblir stengt, også når data gjenopprettes fra en sikkerhetskopi.
— CreateYourVPN-teametE-postadressene til butikkenes brukere lagres ikke lenger
En person skriver inn e-postadressen sin for å logge inn i en partners butikk, men adressen blir ikke liggende hos oss: e-posten med koden sendes, og adressen slettes med én gang. Kontoen kjennes igjen på et ugjenkallelig avtrykk som adressen ikke kan gjenskapes fra, og kontonavnet inneholder den heller ikke.
— CreateYourVPN-teametTilgangen til panelet for infrastrukturstyring er begrenset
En ekstern forsker meldte at et administrasjonsgrensesnitt for infrastrukturen svarte fra det åpne internett. Grensesnittet var beskyttet med innlogging, og det ble ikke funnet spor etter uautorisert tilgang. Rapporten ble akseptert, og tilgangen ble begrenset.
Grensesnittet er nå bare tilgjengelig fra godkjente adresser, kravene til innlogging er skjerpet, og de berørte komponentene er oppdatert. Resultatet ble verifisert utenfor nettet vårt. I tillegg gikk vi gjennom den offentlige overflaten vår og innførte en regelmessig kontroll av den. Belønningen er utbetalt på høyeste nivå.
— Gaurang MahetaFjernet en ubrukt autorisasjonssti i partner-API-et
API-et støttet en ekstra cookie-basert autorisasjonssti som den nåværende server-side-arkitekturen ikke trengte. Det ble ikke funnet noe cross-site-angrep i production, men den ekstra stien utvidet flaten for fremtidige feil. API-et bruker nå én enkelt, eksplisitt definert autorisasjonsmetode, dekket av negative tester.
— CreateYourVPN-teametGarantert sletting av administrasjonsnøkkelen etter sletting av server
Slettingen av den krypterte administrasjonsnøkkelen kjørte etter nettverksoperasjoner i bakgrunnen og kunne unnlate å gjenta seg dersom disse operasjonene mislyktes. Vi koblet nøkkelslettingen fra nettverkskaskaden og la til et garantert nytt forsøk. Scenarioene med utilgjengelig server og avbrutt prosess dekkes av tester.
— CreateYourVPN-teametPlattformens kryptografiske nøkler atskilt etter formål
En intern gjennomgang fant at én enkelt hemmelighet ble brukt til to ulike kryptografiske oppgaver. Dette skapte ingen direkte omgåelse, men utvidet konsekvensene av en nøkkelkompromittering. De to formålene er atskilt, og hvert av dem roteres nå uavhengig.
— CreateYourVPN-teametRedusert den offentlige flaten til production-API-et
Interaktiv teknisk API-dokumentasjon var tilgjengelig uten autentisering. Den ga ingen tilgang til beskyttede data, men gjorde det lettere å studere API-ets interne struktur. I production er dokumentasjonen nå deaktivert, mens den forblir tilgjengelig i et isolert miljø for utvikling.
— CreateYourVPN-teametLagt til vern mot usikker cross-origin-konfigurasjon
Den nåværende production-konfigurasjonen tillot ikke vilkårlige origins, men koden tillot en farlig kombinasjon av parametere dersom en operatør konfigurerte den feil. Den kombinasjonen avvises nå ved oppstart og dekkes av en automatisert test.
— CreateYourVPN-teametIntern gjennomgang før programlanseringen
Den 15. juli 2026 startet vi en intern sikkerhetsgjennomgang av CreateYourVPN. Rettelsene vi har fullført og reverifisert, publiseres nedenfor; flere følger etter hvert som de rulles ut og bekreftes.
— CreateYourVPN-teametHva som havner her.
Sammendrag og tidslinjer
Kjernen i et funn, sårbarhetsklassen, rapportdatoen og rettedatoen. Hvis et funn gjendrev en SR-påstand — en offentlig rettelse av rapporten.
Oppskrifter på utnyttelser
Trinnvise instruksjoner, PoC-kode og detaljer som ville hjelpe til med å angripe andre servere før alle har oppdatert.
Funnet noe?
Skriv til oss med et reproduserbart proof of concept. Vi svarer innen 72 timer og gjør triage internt.