W redakcji doceniamy prawdziwą hakerską robotę, dlatego z uwagą śledzimy (a później analizujemy raporty zwane writeupami) zmagania podczas zawodów spod szyldu Pwn2Own organizowanych przez Zero Day Initiative. Tegoroczna edycja odbyła się między 21 a 24 października 2025 w Cork, w Irlandii. Zawodnicy mogli zmierzyć się w ośmiu kategoriach: Szczegółowy zestaw…

Jedną z fajniejszych, z punktu widzenia pentestera, podatności (chociaż trochę niedoceniana) jest podatność masowego przypisania (mass assignment). Dzięki niej, możliwa jest zmiana np. pól obiektu, które nie powinny zostać zmienione. Powstaje najczęściej w wyniku błędnego użycia funkcjonalności np. biblioteki, która pozwala zmapować parametry zapytania do wewnętrznej reprezentacji obiektu w aplikacji. …

Atak na dużego dostawcę rozwiązań bezpieczeństwa zawsze budzi emocje. Nie inaczej jest tym razem. Firma F5 w oświadczeniu, poinformowała o wykrytym w sierpniu tego roku ataku na swoją infrastrukturę. Wyciekł kod źródłowy, informacje o podatnościach oraz configi niektórych klientów.

Druga część naszej serii o integracji Zabbixa oraz Grafany. Tym razem Albert wprowadzi Czytelnika w świat przygotowania i prezentacji różnego typu danych przy pomocy dashboardów Grafany.

CISA ostrzega, o trwającej kampanii infekującej trwale urządzenia VPN (dwie podatności 0day). Pierwsza podatność (CVE-2025-20362) umożliwia dostęp bez uwierzytelnienia do pewnych URLi na web serwerze urządzenia. Druga podatność (CVE-2025-20333) to wykonanie poleceń jako root na urządzeniu. Dzięki poprzedniej podatności, może to być zrealizowane bez uwierzytelnienia (!) Wg CISA, Infekcja jest…

Zaczyna się tak: “Część, czy mógłbyś zagłosować na Agnieszkę? To bardzo ważne dla niej, a nagroda to stypendium na studia” (Zobacz na foto poniżej). Link prowadzi do strony, na której rzekomo głosuje się na dziewczynkę (konkurs gimnastyczny). Okazuje się jednak, że żeby zagłosować, trzeba “zalogować się WhatsApp’em”. “Logowanie” to w…

Całkiem niedawno opisywaliśmy kampanię, która miała być największym atakiem na łańcuch dostaw w historii. Atakujący wykorzystali przejęte, dzięki phishingowi, konta programistów i umieścili w pakietach złośliwy kod wykradający środki z portfeli kryptowalut. Przestępcy osiągnęli dość dyskusyjny sukces (na szczęście), jednak to nie znaczy, że na tym zagrożenia czyhające na developerów…

Dlaczego warto być na MSHP? Zapytaliśmy o to w ankiecie uczestników ostatniej edycji. Na pierwszym miejscu wskazali oni: Świetne prezentacje i wysoki poziom merytoryczny A co to konkretnie oznacza? To, że często prosimy zaufanych prelegentów o premierowe tematy na MSHP. To doświadczeni praktycy, charyzmatyczni specjaliści i co ważne – fascynaci…

Albert Przybylski przedstawia jak przy pomocy Grafany obejść ograniczenia dashboardów Zabbixa i rozbudować możliwości monitoringu środowiska.
To pierwszy z cyklu artykułów, które opublikujemy na sekuraku. Na początku przedstawione zostaną aspekty bezpiecznej konfiguracji środowiska.

Sekurak objął akcję patronatem medialnym. Szczegóły poniżej. Program „Twoje dane – Twoja sprawa” to ogólnopolski projekt edukacyjny UODO, który od 2009 r. buduje świadomość dzieci, młodzieży, nauczycieli i rodziców o ochronie danych osobowych. Zarówno forma, jak i tematyka programu ewoluują, odpowiadając na wyzwania technologiczne oraz społeczne. Program „Twoje dane –…

13 września obchodzimy Dzień Programisty – święto twórców cyfrowego świata. W dobie rosnących zagrożeń, ataków na API, podatności w aplikacjach LLM i wycieków danych, bezpieczeństwo kodu jest ważniejsze niż kiedykolwiek wcześniej. Z tej okazji Helion.pl przygotował specjalną promocje na książki i kursy online, które pomagają programistom pisać stabilne, odporne na…

Przedstawiamy atak na łańcuch dostaw, który miał wstrząsnąć światem, ale na szczęście stał się tylko bolesnym przypominieniem, jak dużo trzeba jeszcze zrobić w kontekście bezpieczeństwa zależności.

CERT Polska ostrzega o aktywnym ataku, celującym w niezaktualizowane oprogramowanie Roundcube (webmail – czyli klient poczty elektronicznej w przeglądarce). Podatność CVE-2024-42009 wykorzystywana jest grupę hackerską związaną z rządem Białorusi. Do udanego ataku wystarczy otworzenie złośliwego maila w przeglądarce (Roundcube). Nie trzeba nawet otwierać / pobierać żadnych załączników. CERT Polska ostrzega…

Jak czytamy w oświadczeniu: “(…) w przypadku wprowadzenia zmian w adresie URL w przeglądarce internetowej podczas pracy z aplikacją IKP możliwy był nieuprawniony dostęp do dokumentacji medycznej (EDM) innych użytkowników.” Czyli pisząc po ludzku wyglądało to np. tak: /pokaz_dane_uzytkownika?id=11111 teraz ktoś wpisuje /pokaz_dane_uzytkownika?id=11112 i uzyskuje dostęp do danych osobowych (oraz…

Szczegóły o załatanych podatnościach dostępne są tutaj. Z “ciekawszych” podatności mamy: ❌ Możliwość przejęcia telefonu, po przesłaniu do niego “odpowiednio spreparowanego pliku audio”❌ Możliwość zdobycia pełnych uprawnień root przez appki❌ Tajemnicza podatność umożliwiająca brute-force PINów: A malicious app may be able to attempt passcode entries on a locked device and…