Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%

Tag: websec

Podatności w Sitecore – badacze obnażają poziom bezpieczeństwa CMS dla biznesu

26 czerwca 2025, 11:51 | W biegu | 0 komentarzy
Podatności w Sitecore – badacze obnażają poziom bezpieczeństwa CMS dla biznesu

Po raz kolejny na naszych łamach gości watchTowr oraz znakomity Piotr Bazydło. Musimy przyznać, że w redakcji bardzo cenimy sobie techniczne writeupy okraszone uszczypliwym dowcipem. Tym razem przytaczamy bardzo dobry opis podatności w systemie zarządzania treścią (ang. content management system – CMS) Sitecore, który wykorzystywany jest głównie przez duże firmy…

Czytaj dalej »

Zdalne wykonanie kodu bez uwierzytelnienia na Centosie – panel CWP

25 czerwca 2025, 04:37 | W biegu | 0 komentarzy
Zdalne wykonanie kodu bez uwierzytelnienia na Centosie – panel CWP

CentOS Web Panel to darmowe rozwiązanie dostępne na systemach z rodziny CentOS (lub korzystających z RPM), składające się właściwie z dwóch elementów. Oferuje interfejs administratorski do zarządzania serwerem, konfiguracji usług takich jak serwery WWW, poczty e-mail czy DNS. Oprócz tego, na innym porcie udostępniany jest drugi panel dla użytkowników końcowych,…

Czytaj dalej »

Masz wystawioną do Internetu Grafanę? Lepiej do niej zerknij… możliwe przejęcie konta

20 czerwca 2025, 14:05 | W biegu | 0 komentarzy
Masz wystawioną do Internetu Grafanę? Lepiej do niej zerknij… możliwe przejęcie konta

Grafana to otwartoźródłowa platforma do analizy i prezentacji danych, szeroko stosowana nie tylko w IT. Pozwala tworzyć panele prezentujące różne metryki, co powoduje, że jest popularnym rozwiązaniem wśród inżynierów IT i adminstratorów. Użytkownikom “domowym” może być znana między innymi z paneli prezentujących informacje udostępniane przez urządzenia klasy smart home (np….

Czytaj dalej »

Ataki na popularne routery TP-Link

18 czerwca 2025, 12:38 | W biegu | komentarze 4
Ataki na popularne routery TP-Link

Cybersecurity and Infrastructure Security Agency (CISA) dodała informację o atakach na routery TP-Link do katalogu znanych, wykorzystywanych podatności (baza KEV). Wszystko za sprawą podatności oznaczonej symbolem CVE-2023-33538, która pozwala na wstrzykiwanie poleceń. Routery TP-Link TL-WR841N oraz TL-WR740N czyli popularne “mydelniczki” zdobyły popularność w Polsce z uwagi na niewygórowaną cenę oraz dobry stosunek jakości…

Czytaj dalej »

Krytyczna podatność w Cisco ISE – “losowe” poświadczenia nie do końca losowe

10 czerwca 2025, 07:45 | W biegu | 0 komentarzy
Krytyczna podatność w Cisco ISE – “losowe” poświadczenia nie do końca losowe

Cisco ISE (Identity Services Engine) to rozwiązanie łączące cechy NAC (Network Access Control) i AAA (Authentication, Authorization, and Accounting) – pozwala na realizację polityk dostępu do sieci oraz segmentację. Występuje zarówno w wersjach on-prem oraz cloud.  04 czerwca 2025, w biuletynie producenta, pojawiła się informacja o krytycznej podatności oznaczonej jako…

Czytaj dalej »

Uwaga na ataki na polskie serwery ~poczty. Można jednym złośliwym mailem przejąć cały serwer (Roundcube)

06 czerwca 2025, 09:05 | W biegu | 0 komentarzy
Uwaga na ataki na polskie serwery ~poczty. Można jednym złośliwym mailem przejąć cały serwer (Roundcube)

CERT Polska ostrzega o aktywnym ataku, celującym w niezaktualizowane oprogramowanie Roundcube (webmail – czyli klient poczty elektronicznej w przeglądarce). Podatność CVE-2024-42009 wykorzystywana jest grupę hackerską związaną z rządem Białorusi. Do udanego ataku wystarczy otworzenie złośliwego maila w przeglądarce (Roundcube). Nie trzeba nawet otwierać / pobierać żadnych załączników. CERT Polska ostrzega…

Czytaj dalej »

Jak źli hakerzy atakują internetowe fora? Groźne podatności vBulletin i polski wątek

05 czerwca 2025, 14:02 | W biegu | 0 komentarzy
Jak źli hakerzy atakują internetowe fora? Groźne podatności vBulletin i polski wątek

Fora internetowe, chociaż lata świetności mają już za sobą, wciąż stanowią nieodłączny element krajobrazu Internetu. Mimo olbrzymiej ofensywy przeprowadzonej przez social media, na rynku można znaleźć kilka silników forumowych, znanych od lat. Utrzymanie takich platform z zachowaniem najlepszych praktyk bezpieczeństwa wymaga od administratorów tak oczywistych akcji jak np. przeprowadzanie regularnych…

Czytaj dalej »

Zdalne wykonanie kodu bez uwierzytelnienia – Ivanti Endpoint Manager Mobile

26 maja 2025, 12:32 | Aktualności | 1 komentarz
Zdalne wykonanie kodu bez uwierzytelnienia – Ivanti Endpoint Manager Mobile

Ivanti to jedna z tych firm, która często gości na łamach portalu sekurak.pl. Dzieje się tak za sprawą ogromnego zainteresowania ze strony badaczy bezpieczeństwa, ale także i cyberprzestępców, co przekłada się na stosunkowo dużą liczbę ujawnionych błędów (nie bez winy jest fakt, że rozwiązania bezpieczeństwa – chociaż Ivanti nie jest…

Czytaj dalej »

Banalna podatność, która mogła być wykorzystana w Internetowym Koncie Pacjenta (IKP). Można było pozyskiwać dane innych osób (również o zdrowiu).

09 maja 2025, 08:46 | W biegu | 1 komentarz
Banalna podatność, która mogła być wykorzystana w Internetowym Koncie Pacjenta (IKP). Można było pozyskiwać dane innych osób (również o zdrowiu).

Jak czytamy w oświadczeniu: „(…) w przypadku wprowadzenia zmian w adresie URL w przeglądarce internetowej podczas pracy z aplikacją IKP możliwy był nieuprawniony dostęp do dokumentacji medycznej (EDM) innych użytkowników.” Czyli pisząc po ludzku wyglądało to np. tak: /pokaz_dane_uzytkownika?id=11111 teraz ktoś wpisuje /pokaz_dane_uzytkownika?id=11112 i uzyskuje dostęp do danych osobowych (oraz…

Czytaj dalej »

4chan z problemami czyli o ataku na popularny imageboard

16 kwietnia 2025, 17:16 | W biegu | komentarze 3
4chan z problemami czyli o ataku na popularny imageboard

Internet pełen jest portali społecznościowych czy forów. Do tych bardziej popularnych, chociaż owianych złą sławą, ze względu szerokie spektrum dopuszczalnych treści, należy 4chan. Portal założony pod koniec 2003 roku stał się sławny za sprawą działań swoich anonimowych użytkowników oraz kontrowersyjnych memów. 4chan zasłynął z różnych akcji, takich jak namierzanie flagi…

Czytaj dalej »

Jak można było czytać listę połączeń klientów sieci Verizon

11 kwietnia 2025, 05:54 | W biegu | 1 komentarz
Jak można było czytać listę połączeń klientów sieci Verizon

Evan Connelly zaprezentował odkrytą przez siebie podatność w aplikacji  Verizon Call Filter na urządzenia z systemem iOS. Co prawda problem dotyczy klientów tej amerykańskiej sieci GSM, jednak postanowiliśmy opisać błąd leżący u podstaw tej podatności, ponieważ z doświadczenia wiemy, że luki klasy IDOR (ang. Insecure Direct Object Reference) pojawiają się…

Czytaj dalej »

Fortinet zaleca aktualizację oprogramowania FortiSwitch – możliwa jest nieautoryzowana zmiana hasła

10 kwietnia 2025, 13:35 | W biegu | 0 komentarzy
Fortinet zaleca aktualizację oprogramowania FortiSwitch – możliwa jest nieautoryzowana zmiana hasła

Podatności w firmware bram dostępowych, zaporach sieciowych czy przełącznikach sieciowych zdarzają się niestety często, a do tego niosą za sobą szczególne niebezpieczeństwo ze względu na rolę, jaką pełnią w ekosystemie.  O dzisiejszym bohaterze pisaliśmy nie raz. Tym razem krytyczna podatność, oznaczona numerem CVE-2024-48887 i wyceniona na 9.3 w skali CVSS3.1…

Czytaj dalej »

Kiedy podatność przypomina backdoora – Next.js CVE-2025-29927 i obejście logiki middleware

25 marca 2025, 14:28 | W biegu | komentarze 2
Kiedy podatność przypomina backdoora – Next.js CVE-2025-29927 i obejście logiki middleware

Krytyczna podatność (CVSS3.1 na poziomie 9.1) we frameworku JS ściąganym niemal 10 milionów razy w tygodniu, która pozwala na obejście uwierzytelniania? Brzmi jak idealna piątkowa publikacja. Tak też się stało 21.03.2025, kiedy światło dzienne ujrzała podatność zgłoszona niemal miesiąc wcześniej przez dwóch badaczy – @zhero___ oraz @inzo___. Przyjrzeli się oni…

Czytaj dalej »

Dlaczego hackowanie aplikacji webowych jest proste? Bezpłatne szkolenie od sekuraka

12 marca 2025, 18:38 | W biegu | 0 komentarzy
Dlaczego hackowanie aplikacji webowych jest proste? Bezpłatne szkolenie od sekuraka

Zapraszamy Cię na najnowszą edycję szkolenia: dlaczego hackowanie aplikacji webowych jest proste? Ponownie zaprezentujemy najciekawsze, najpoważniejsze czy najbardziej absurdalne podatności zlokalizowane w ostatnim ~roku. Na szkolenie możesz zapisać się bezpłatnie tutaj (w ramach zapisu dostępne jest też nagranie). Agenda: Szkolenie odbędzie się 18 marca 2025, online, start: 20:00 -> 21:30….

Czytaj dalej »

Websecurity Master od sekuraka – rusza druga edycja topowego szkolenia z bezpieczeństwa aplikacji webowych. Sprawdź nas i zapisz się na bezpłatną sesję szkolenia!

11 marca 2025, 14:58 | Aktualności | 0 komentarzy
Websecurity Master od sekuraka – rusza druga edycja topowego szkolenia z bezpieczeństwa aplikacji webowych. Sprawdź nas i zapisz się na bezpłatną sesję szkolenia!

Zanotujcie sobie tę datę w kalendarzu. 8 kwietnia br. ruszamy z drugą edycją Websecurity Master od sekuraka – najbardziej kompletnego kursu o bezpieczeństwie aplikacji webowych w Polsce! Pierwsza edycja z 2024 r. przyciągnęła ponad 200 osób i została oceniona przez uczestników na 4,9/5. Teraz wracamy z jeszcze lepszym kontentem: ataki,…

Czytaj dalej »