Atalho — Writeup completo
"Atalho" não é força de expressão: bastam 4 caracteres no fim do endereço — .css — pra o site achar que você está pedindo só uma imagem ou um estilo visual, e não a página protegida por trás dele.
Writeups com a tag #auth-bypass
Sede — Writeup completo
Por que "Sede"? Porque o alvo final é literalmente a matriz de uma empresa que você nunca deveria acessar — chegando lá ao explorar uma discordância entre a portaria que checa sua identidade e o corredor interno que decide pra onde você realmente vai.