Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%

Tag: podatność

Jak dodatkowa funkcja Microsoft Copilota otworzyła furtkę dla hakerów

30 lipca 2025, 05:52 | W biegu | 1 komentarz
Jak dodatkowa funkcja Microsoft Copilota otworzyła furtkę dla hakerów

Niedawno pisaliśmy o różnych aspektach bezpieczeństwa rozwiązania MCP. Jednak to nie wszystkie zagrożenia, z którymi muszą mierzyć się inżynierowie wdrażający rozwiązania oparte o AI. W przypadku dużych dostawców oczekiwania rozbudowy funkcjonalności są spore. Brak odpowiedniego modelowania zagrożeń, może okazać się krytyczny z punktu widzenia bezpieczeństwa. Badacze z Eye Research opisali…

Czytaj dalej »

Luka w ExpressVPN na Windowsa ujawniała prawdziwe adresy IP użytkowników

27 lipca 2025, 23:16 | W biegu | 1 komentarz
Luka w ExpressVPN na Windowsa ujawniała prawdziwe adresy IP użytkowników

ExpressVPN to znany dostawca usług VPN, z których korzystają miliony użytkowników na całym świecie. Według materiałów reklamowych firmy jednym z wyróżników, który przyczynił się do dużej popularności, jest korzystanie z serwerów działających wyłącznie w pamięci RAM, które nie przechowują danych użytkowników i przestrzeganie polityki braku logów. Jest to dość popularne…

Czytaj dalej »

Łatajcie szybko swoje Sharepointy – aktywnie wykorzystywana krytyczna podatność

21 lipca 2025, 11:27 | W biegu | 0 komentarzy
Łatajcie szybko swoje Sharepointy – aktywnie wykorzystywana krytyczna podatność

Zanim przejdziecie do dalszej lektury tego krótkiego newsa, zalecamy abyście zainstalowali KB5002754 (Microsoft SharePoint Server 2019), lub KB5002768 (Microsoft SharePoint Subscription Edition). Dla wersji Server 2016 nie ma jeszcze aktualizacji. Producent zaleca rotację kluczy (po łatce). Kompleksowy skrót informacji został opublikowany na stronie CISA. To teraz na spokojnie, co się…

Czytaj dalej »

Krytyczna podatność w aplikacji pozwalającej na podpięcie serwerów MCP do modelu LLM

21 lipca 2025, 02:48 | W biegu | 1 komentarz
Krytyczna podatność w aplikacji pozwalającej na podpięcie serwerów MCP do modelu LLM

O tym, czym jest Model Context Protocol pisaliśmy na łamach sekuraka już nie raz. W skrócie, jest to ustandaryzowany protokół pozwalający na rozszerzenie możliwości dużych modeli językowych (LLM, Large Language Models). Dzięki niemu LLMy mogą korzystać z zewnętrznych narzędzi udostępnianych przez serwery MCP w sposób ujednolicony, bez konieczności implementowania tzw….

Czytaj dalej »

Fortinet FortiWeb Fabric Connector i podatności z lat 90’

16 lipca 2025, 02:42 | W biegu | komentarze 3
Fortinet FortiWeb Fabric Connector i podatności z lat 90’

Nie wiemy jaką dokładnie wartość wskazywał licznik odliczający dni od ostatniej krytycznej podatności w produktach firmy Fortinet, ale w redakcji, mamy wrażenie, że panowie z WatchTowr trzymają tabliczkę z cyfrą “0” w pogotowiu. Tym razem legendarny SinSinology zaprezentował załatanego i krytycznego n-daya w produkcie FortiWeb Fabric Connector – błąd klasy…

Czytaj dalej »

CitrixBleed II – kolejny błąd powodujący, że serwer zwraca więcej danych niż powinien

08 lipca 2025, 13:33 | W biegu | 0 komentarzy
CitrixBleed II – kolejny błąd powodujący, że serwer zwraca więcej danych niż powinien

Większość naszych Czytelników zapewne kojarzy krytyczną podatność OpenSSL – Heartbleed, która stała się niemal książkowym przykładem błędu, który dotyka bardzo szerokiego grona użytkowników. Za sprawą błędnej obsługi rozmiaru przesyłanego bufora w nowo dodanym rozszerzeniu TLS/DTLS Heartbeat, możliwe było zdalne odczytanie aż do 64k bajtów pamięci klienta lub serwera. Zdarzało się,…

Czytaj dalej »

Krytyczna podatność w Sudo (CVE-2025-32462/CVE-2025-32463) – potrzebna jest aktualizacja

07 lipca 2025, 00:42 | W biegu | komentarzy 6
Krytyczna podatność w Sudo (CVE-2025-32462/CVE-2025-32463) – potrzebna jest aktualizacja

Sudo to framework z tekstowym interfejsem, krytyczny z punktu widzenia bezpieczeństwa systemów z rodziny GNU/Linux, UNIX i MacOS. Dzięki niemu, uprawnieni użytkownicy mogą wykonywać polecenia w kontekście innych kont w systemie, a w szczególności jako superuser (root), bez konieczności współdzielenia haseł konta administratora. Nie jest to z pewnością narzędzie obce…

Czytaj dalej »

Podatności w Sitecore – badacze obnażają poziom bezpieczeństwa CMS dla biznesu

26 czerwca 2025, 11:51 | W biegu | 0 komentarzy
Podatności w Sitecore – badacze obnażają poziom bezpieczeństwa CMS dla biznesu

Po raz kolejny na naszych łamach gości watchTowr oraz znakomity Piotr Bazydło. Musimy przyznać, że w redakcji bardzo cenimy sobie techniczne writeupy okraszone uszczypliwym dowcipem. Tym razem przytaczamy bardzo dobry opis podatności w systemie zarządzania treścią (ang. content management system – CMS) Sitecore, który wykorzystywany jest głównie przez duże firmy…

Czytaj dalej »

Badacze zaprezentowali zdalne wykonanie kodu w klasycznej grze Heroes of Might and Magic V

11 czerwca 2025, 14:40 | W biegu | 0 komentarzy
Badacze zaprezentowali zdalne wykonanie kodu w klasycznej grze Heroes of Might and Magic V

W świecie bezpieczeństwa IT nie ma świętości – wręcz przeciwnie, im oprogramowanie jest bardziej “kultowe” (lub po prostu popularniejsze), tym na większą chwałę mogą liczyć hakerzy (oczywiście w białych kapeluszach), którzy udowodnią istnienie podatności. Badacze z Synacktiv wzięli na warsztat popularną grę strategiczną, wydaną przez Ubisoft w 2006 roku –…

Czytaj dalej »

Krytyczna podatność w Cisco ISE – “losowe” poświadczenia nie do końca losowe

10 czerwca 2025, 07:45 | W biegu | 0 komentarzy
Krytyczna podatność w Cisco ISE – “losowe” poświadczenia nie do końca losowe

Cisco ISE (Identity Services Engine) to rozwiązanie łączące cechy NAC (Network Access Control) i AAA (Authentication, Authorization, and Accounting) – pozwala na realizację polityk dostępu do sieci oraz segmentację. Występuje zarówno w wersjach on-prem oraz cloud.  04 czerwca 2025, w biuletynie producenta, pojawiła się informacja o krytycznej podatności oznaczonej jako…

Czytaj dalej »

Jak źli hakerzy atakują internetowe fora? Groźne podatności vBulletin i polski wątek

05 czerwca 2025, 14:02 | W biegu | 0 komentarzy
Jak źli hakerzy atakują internetowe fora? Groźne podatności vBulletin i polski wątek

Fora internetowe, chociaż lata świetności mają już za sobą, wciąż stanowią nieodłączny element krajobrazu Internetu. Mimo olbrzymiej ofensywy przeprowadzonej przez social media, na rynku można znaleźć kilka silników forumowych, znanych od lat. Utrzymanie takich platform z zachowaniem najlepszych praktyk bezpieczeństwa wymaga od administratorów tak oczywistych akcji jak np. przeprowadzanie regularnych…

Czytaj dalej »

Wyciek tytułów szkiców i prywatnych wpisów w silniku WordPress

21 maja 2025, 03:24 | W biegu | komentarze 2
Wyciek tytułów szkiców i prywatnych wpisów w silniku WordPress

Badacze z firmy Imperva odkryli i opisali interesującą podatność w popularnym silniku blogowym WordPress. Luka umożliwia osobom postronnym poznanie tytułów prywatnych wpisów oraz szkiców. Na pierwszy rzut oka nie brzmi dramatycznie, bo dotyczy tylko tytułów, ale w niektórych sytuacjach już samo przedwczesne ujawnienie tytułu może mieć poważne konsekwencje. Jako przykład podawane są tu wpisy…

Czytaj dalej »

Krytyczna luka w implementacji SSH Erlanga – CVSS 10.0 – nieuwierzytelnione wykonanie kodu oraz AI, które pisze PoC-a

25 kwietnia 2025, 01:54 | W biegu | komentarze 3
Krytyczna luka w implementacji SSH Erlanga – CVSS 10.0 – nieuwierzytelnione wykonanie kodu oraz AI, które pisze PoC-a

Na wstępie uspokajamy, luka w żadnym wypadku nie dotyka OpenSSH (ani innych popularnych implementacji) czy protokołu SSH jako takiego. Problem wystąpił tylko w zestawie bibliotek Erlang/OTP, które implementują protokół SSH. Podatność otrzymała 10.0 punktów w skali CVSS v3, ponieważ umożliwia nieuwierzytelnionemu atakującemu na wykonanie kodu, na zdalnym systemie z uprawnieniami…

Czytaj dalej »

Jak można było czytać listę połączeń klientów sieci Verizon

11 kwietnia 2025, 05:54 | W biegu | 1 komentarz
Jak można było czytać listę połączeń klientów sieci Verizon

Evan Connelly zaprezentował odkrytą przez siebie podatność w aplikacji  Verizon Call Filter na urządzenia z systemem iOS. Co prawda problem dotyczy klientów tej amerykańskiej sieci GSM, jednak postanowiliśmy opisać błąd leżący u podstaw tej podatności, ponieważ z doświadczenia wiemy, że luki klasy IDOR (ang. Insecure Direct Object Reference) pojawiają się…

Czytaj dalej »