security research / web applications
Poystick
Sou pesquisador de segurança com foco em aplicações web, plugins e temas WordPress. Aqui eu publico algumas análises, CVEs, anotações de code review e PoCs.
Tento registrar principalmente o que encontrei no código, como validei e onde a proteção falhou.
Manual = pesquisa conduzida manualmente. AI-Assisted = IA participa do processo e o resultado é validado. Automated = descoberta originada por pipeline ou automação.
CVEs próprias = vulnerabilidades atribuídas a Tarcísio Luchesi (Poystick). Terceiros = vulnerabilidades descobertas por outros hunters. Educacionais = fundamentos e metodologias, sem atribuição de falha.
Perfis de pesquisa
Patchstack / WordfencePatchstack — Tarcísio Luchesi (Poystick)
Perfil público de pesquisador com relatórios e vulnerabilidades de segurança em plugins WordPress.
Wordfence Intelligence — Tarcísio Luchesi (Poystick)
Página de pesquisador na base de inteligência de vulnerabilidades da Wordfence.
Write-ups
07 publicados2026-11-08 AI-Assisted CVE própria · Poystick
CVE-2026-61957 — XSS refletido no miniOrange OTP Verification ≤ 5.5.1
Como investiguei a reflexão de chaves GET no HTML e a normalização de nomes pelo PHP, com payload dotless em Base64. CVSS 7.1; corrigido na versão 5.5.2.
2026-11-01 AI-Assisted Análise estática
Icegram Collect 1.3.21 — de review_url ao sink HTML
Do hook admin_notices ao meta refresh: o valor chega sem escape ao atributo HTML, mas não há exploração por usuário externo demonstrada.
2026-10-13 AI-Assisted CTF / CVE de terceiros
CVE-2026-33938 — Prototype Pollution até possível RCE no Handlebars
Análise do fluxo do template ao worker, bypass da allowlist e mutação de @partial-block. Inclui AST, code injection e uma PoC candidata ainda sem confirmação de RCE no CTF.
2026-10-04 AI-Assisted Validado por Tarcísio Luchesi (Poystick)
Do XSS ao RCE no Steam Chat — React, BBCode, CEF e custom URI
Artigo didático criado com IA e tecnicamente revisado/validado por mim, reconstruindo a cadeia de uma falha pública de terceiro desde as primitives de XSS/URL até a fronteira nativa e o RCE.
2026-10-07 AI-Assisted Material educativo
Do formulário à API — análise black box de integrações de newsletter
Dos fundamentos cliente-servidor ao controle de parâmetros, trust boundaries, validação segura e autorização em backends sem CMS.
2026-09-23 AI-Assisted Tarcísio Luchesi (Poystick)
CVE-2025-15285 — Missing Authorization no SEO Flow ≤ 2.2.1
O plugin verifica um HMAC inválido, retorna um WP_Error e depois ignora esse retorno. A execução continua até funções como wp_insert_post().
2026-09-24 AI-Assisted Tarcísio Luchesi (Poystick)
Paytium 5.0.3 → 5.0.5 — XSS armazenado no código de desconto
Revisão do sink sem escape em 5.0.3 e confirmação da correção com esc_html() em 5.0.5, com limites claros sobre o que foi e não foi corrigido.
PoCs
01 publicado2026-09-23 AI-Assisted Tarcísio Luchesi (Poystick)
CVE-2025-15285 — PoC interativa em Python
Demonstra em laboratório a criação, modificação e exclusão de posts, além da criação de categorias, usando um HMAC deliberadamente inválido.
Filosofia
Aprender construindo, usar IA para aumentar minha capacidade, entender por engenharia reversa e recorrer à teoria quando ela se torna necessária.
Minha forma de estudar é orientada por projetos e por problemas reais. Em vez de esperar dominar toda a teoria antes de começar, prefiro construir, testar, analisar o resultado e aprofundar os conceitos sob demanda. A IA faz parte desse processo como ferramenta de aceleração: pode ajudar a gerar hipóteses, analisar código, criar rascunhos, automações e PoCs, mas o resultado precisa ser entendido e validado.
Na cibersegurança, não quero apenas caçar bounty; quero entender vulnerabilidades, produzir pesquisa útil e me tornar muito bom em um nicho específico.
Para mim, CVEs, exploits, write-ups, ferramentas e pesquisa prática são também formas de aprendizagem. Quanto mais eu investigo uma vulnerabilidade, mais a teoria deixa de ser algo abstrato e passa a fazer parte do trabalho real.
Também acredito que conhecimento em segurança deve circular. Compartilhar metodologia, explicar padrões e ajudar outras pessoas a aprender aumenta a quantidade de gente capaz de pesquisar e proteger sistemas.
Sobre
Meu foco atual é pesquisa de vulnerabilidades em WordPress. Normalmente começo pela superfície exposta pelo plugin, sigo o fluxo dos dados até um sink sensível e depois valido a hipótese em laboratório.
Este site é só um lugar para organizar o que eu estiver estudando e publicando. PoCs e testes descritos aqui são voltados a ambientes próprios ou autorizados.