2025 Червень - Websecurity - Веб безпека

Архів за Червень, 2025

Уразливості на idea.privatbank.ua

23:40 29.06.2025

Раніше, 22.03.2013, я знайшов Information Leakage, Insufficient Authentication та Brute Force уразливості на сайті idea.privatbank.ua та 217.117.65.248 - це один сервер. В той час я вислав ці уразливості банку.

Information Leakage (WASC-13):

http://217.117.65.248/s3/bestpercent/

Витік інформації банку, що призначена не для всіх.

Insufficient Authentication (WASC-01):

Доступ до цього розділу на https://idea.privatbank.ua/s3/bestpercent/ заборонений, але доступний на http://217.117.65.248 - якщо зайти на сайт по IP.

А також це стосується інших ресурсів, які на idea.privatbank.ua вимагають аутентифікації.

Brute Force (WASC-11):

https://idea.privatbank.ua/sa/close/login
https://idea.privatbank.ua/sa/cpanel/ та ще одна

Відсутність захисту від підбору пароля адміна.

ПриватБанк тоді проігнорував їх та не оплатив. Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на bonus.privatbank.ua та інших сайтах ПБ.

Опубліковано в Уразливості | Без Коментарів »

Діяльність Українських Кібер Військ

19:38 29.06.2025

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

В липні:

Перший тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3JGjq9T.
Дані розвідки про вибухівку на даху кількох енергоблоків ЗАЕС https://bit.ly/3XGW0XB.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/43hfKSS.
Українські Кібер Війська щодня виявляють російські танки в Донецьку та С-300 в Криму https://bit.ly/3pviezo.
Українські Кібер Війська заблокували 345 сайтів терористів https://bit.ly/3rfNT8v.
Відео-розвідка: УКВ виявили, як родичі висилають спорядження окупантам поштою Шебекіно https://bit.ly/3pBsNAL.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/43hxmy5.
Українські Кібер Війська закрили сайт терористів 2000.ua https://bit.ly/44dHyc4.
Це документ російських терористів https://bit.ly/46JabPW.
Українські Кібер Війська заблокували 345 сайтів терористів https://bit.ly/44sxdZE.

Опубліковано в Новини | Без Коментарів »

Добірка експлоітів

17:03 29.06.2025

В даній добірці експлоіти в веб додатках:

OpenPLC WebServer 3 - Denial of Service (деталі)
JetBrains TeamCity 2023.05.3 - Remote Code Execution (RCE) (деталі)
Honeywell PM43 < P10.19.050004 - Remote Code Execution (RCE) (деталі)
SolarView Compact 6.00 - Command Injection (деталі)
GitLab CE/EE < 16.7.2 - Password Reset (деталі)

Опубліковано в Експлоіти | Без Коментарів »

Цікаве чтиво на тему web security

23:57 28.06.2025

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

Опубліковано в Статті | Без Коментарів »

Вийшли PHP 8.2.22 і 8.3.10

19:31 28.06.2025

У серпні, 01.08.2024, вийшли PHP 8.2.22 і PHP 8.3.10. У версії PHP 8.2.22 виправлено багато багів і уразливостей, у версії PHP 8.3.10 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.2.x і 8.3.x.

У PHP 8.2.22 і 8.3.10 виправлено:

Численні вибивання.
Пошкодження пам’яті.
Численні витоки пам’яті.
Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Опубліковано в Новини, Програми | Без Коментарів »

Діяльність Українських Кібер Військ

16:23 28.06.2025

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

В червні:

П’ятий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/43VX3VW.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/439HbhC.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3Xv3AEF.
Ми роками виявляли докази викрадення, а також навчання окупантами дітей тероризму в Криму і на Донбасі https://bit.ly/3rafwQk.
Українські Кібер Війська заблокували 340 сайтів терористів https://bit.ly/3XCbH2j.
Відео-розвідка: УКВ багато разів виявляли, як мобілізовані кадирівці отримують спорядження поштою в Бєлгороді https://bit.ly/445pfpr.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3NRq13N.
Українські Кібер Війська записали відео зі штаб-квартири терористів в Алчевську https://bit.ly/46rTYyH.
Українські Кібер Війська закрили сайт терористів urist.in.ua https://bit.ly/436uaoS.
Це документ російських терористів https://bit.ly/3pwJFss.
Українські Кібер Війська заблокували 345 сайтів терористів https://bit.ly/3PIvwTF.

Опубліковано в Новини | Без Коментарів »

Похакані сайти №422

23:45 27.06.2025

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

https://infokiosk.khm.gov.ua (хакером aDriv4) - 19.06.2024 - похаканий державний сайт
https://biosept.com.ua (хакером Rayzky) - 11.04.2024
https://wgsparts.com.ua (хакером CrankySt@lker) - 16.04.2024
https://sed.ieu.edu.ua (хакером KingSkrupellos) - 20.04.2024
https://ogpe.nung.edu.ua (хакером KingSkrupellos) - 20.04.2024

Опубліковано в Новини сайту, Дослідження | Без Коментарів »

Добірка експлоітів

19:34 27.06.2025

В даній добірці експлоіти в веб додатках:

SyncBreeze 15.2.24 - ‘login’ Denial of Service (деталі)
TitanNit Web Control 2.01 / Atemio 7600 - Root Remote Code Execution (деталі)
GL.iNet AR300M v3.216 - Remote Code Execution Exploit (деталі)
R Radio Network FM Transmitter 1.07 system.cgi - Password Disclosure (деталі)
VMware Cloud Director 10.5 - Bypass identity verification (деталі)

Опубліковано в Експлоіти | Без Коментарів »

Безпека e-commerce сайтів в Уанеті №32

16:23 27.06.2025

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але на жаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних сайтах банків України:

Також згадував про взломані онлайн магазини в Уанеті:

А також згадував про інфіковані онлайн магазини в Уанеті:

Так що українським банкам та e-commerce сайтам є куди покращувати свою безпеку.

Опубліковано в Дослідження | Без Коментарів »

Уразливості в плагінах для WordPress №367

23:55 26.06.2025

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AN_Gradebook, Ninja Forms, EventON Calendar і темі Medic. Для котрих з’явилися експлоіти.

WordPress Theme Medic v1.0.0 - Weak Password Recovery Mechanism for Forgotten Password (деталі)
WordPress Plugin AN_Gradebook 5.0.1 - SQL Injection (деталі)
WordPress Plugin Ninja Forms 3.6.25 - Reflected XSS (деталі)
Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Event Access (деталі)
Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Post Access via IDOR (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Опубліковано в Новини сайту, Уразливості | Без Коментарів »

Websecurity - Веб безпека

Архів за Червень, 2025

Уразливості на idea.privatbank.ua

Діяльність Українських Кібер Військ

Добірка експлоітів

Цікаве чтиво на тему web security

Вийшли PHP 8.2.22 і 8.3.10

Діяльність Українських Кібер Військ

Похакані сайти №422

Добірка експлоітів

Безпека e-commerce сайтів в Уанеті №32

Уразливості в плагінах для WordPress №367

Меню

Категорії

Останні повідомлення

Архів +-

Мета