Wyobraźcie sobie, że odwiedzasz jakąś stronę webową, np. developers.google.com, która prosi o uruchomienie konsoli javascriptowej w przeglądarce i wykonanie w niej funkcji: magic(). Czy zrobilibyście to? Oczywiście ta funkcja może mieć dostęp do wszystkiego w ramach originu https://developers.google.com, ale nie powinna mieć dostępu do danych z innych domen. A może…

Aktualizacja: dostępna jest już łatka. Confluence poinformował o istnieniu aktywnie wykorzystywanego błędu typu 0-day na każdą obecnie wspieraną wersję Confluence. Błąd dotyczy tylko instancji on-prem, bo wersja cloud jest już załatana. Błąd pozwala na wykonanie dowolnego kodu po stronie serwera bez potrzeby uwierzytelnienia. Został on odkryty przez firmę Volexity, która…

Już całkiem niedługo, bo w wersji Chrome 106 (okolice lipca 2022) Chrome uniemożliwi ustawienie własnej wartości document.domain w celu osłabienia Same Origin Policy, co może w efekcie pozwolić na dodatkowe uszczelnienie modelu bezpieczeństwa w tej przeglądarce. Zacznijmy może od wyjaśnienia czym w ogóle jest document.domain w przeglądarkach i dlaczego jego…

Kilka dni temu projekt Anaconda ogłosił framework PyScript – pozwalający na wykonywanie kodu Pythona bezpośrednio w przeglądarce oraz jego integrację z HTML-em czy kodem napisanym w JS. Samo wykonywanie kodu Pythona w przeglądarce nie jest nowe; projekt pyodide pozwala na to już od dłuższego czasu (poprzez skompilowanie Pythona do postaci…

W obliczu agresji Rosji na Ukrainę, a w efekcie katastrofy humanitarnej u naszych sąsiadów, chciałbym zaktywizować społeczność Sekuraka do działania i pomocy dla Ukrainy. Od zeszłego tygodnia, polski wydawca i developer 11 bit studios S.A. przeznacza przez 7 dni dochód ze sprzedaży swojej głośnej (obecnej na liście lektur) gry antywojennej…

Już wkrótce rozpoczynamy nowy cykl tekstów na sekuraku: czwartki z OSINT-em. TLDR: co tydzień będzie to nowy dłuższy tekst autorstwa Krzyśka Wosińskiego. Na dzisiaj mamy już gotowych kilka odcinków, więc czekamy na Wasze zapisy i startujemy. Jako dodatkowy bonus, po zapisaniu się na naszą listę poniżej (oraz potwierdzeniu zapisu –…

W kolejnym tekście w serii o OWASP TOP 10 zajmujemy się przykładami błędów związanych ze złą konfiguracją aplikacji

OWASP TOP 10 to popularny standard, na który składa się lista dziesięciu najistotniejszych ryzyk bezpieczeństwa w aplikacjach webowych (zdaniem fundacji OWASP). W najnowszej wersji tego standardu, wydanej w październiku 2021, pojawił się nowy punkt: A04: Insecure Design. Czym on dokładnie jest i jakie typy błędów się pod nim kryją? Na to postaramy się odpowiedzieć w tym krótkim tekście.

W ostatnich dniach przez internet przelewa się afera: w Chromie została wprowadzona zmiana, która pozwala stronom blokować możliwość podglądu ich źródeł!! Czy tak jest naprawdę?

W tym tekście Jakub Żoczek opisuje swoje ostatnie znalezisko – możliwość wykonania dowolnego kodu z wykorzystaniem fail2ban

Już w najbliższy piątek o 09:00 Michał Bentkowski poprowadzi unikalne szkolenie o wykorzystaniu nowoczesnych mechanizmów przeglądarkowych w celu lepszego zabezpieczenia aplikacji webowych. W ostatnich latach twórcy przeglądarek wprowadzili szereg mechanizmów, które pozwalają na lepsze zabezpieczenie aplikacji WWW przed atakami i pozwalają na lepsze zabezpieczenie danych użytkowników. Niektóre z nich są…

Checie dostać za darmo ebook naszej książki „Bezpieczeństwo aplikacji webowych”? Dla pierwszych trzech osób, które zapiszą się na wszystkie trzy szkolenia z nowej serii sekuraka „Websecurity master” ebook naszej książki wysyłamy gratis! Seria „Websecurity master” to prawdziwa merytoryczna bomba w zakresie takich tematów jak uwierzytelnianie, autoryzacja, bezpieczeństwo JWT, nowoczesne mechanizmy…

Przypominamy, że już dziś o 09:00 startujemy z Mega Sekurak Hacking Party w wersji online! Jeśli zapisałeś lub zapisałaś się na to wydarzenie, a nie dostałeś lub nie dostałaś jeszcze danych dostępowych, koniecznie napisz do nas: hackingparty@securitum.pl. Zapraszamy!

Zapraszamy na Mega Sekurak Hacking Party organizowane zdalnie 14 czerwca 2021! Cały dzień wypełniony prezentacjami, dostęp do nagrań, dostęp do archiwum rSHP.

W pierwszej połowie marca 2021 u wszystkich użytkowników GitHuba wymuszono ponowne zalogowanie się, po tym jak część użytkowników zostawała nieoczekiwanie zalogowana na cudze konta. Wczoraj GitHub opublikował szczegóły tego błędu. Opisujemy na czym on polegał.