Websecurity - Веб безпека - Безпека веб-додатків та веб-систем

Уразливості в плагінах для WordPress №371

19:31 25.03.2026

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Alemha Watermarker, Playlist for Youtube, WP Video Playlist, Background Image Cropper і темі Travelscape. Для котрих з’явилися експлоіти.

Wordpress Plugin Alemha Watermarker 1.3.1 - Stored Cross-Site Scripting (XSS) (деталі)
Wordpress Theme Travelscape v1.0.3 - Arbitrary File Upload (деталі)
Wordpress Plugin Playlist for Youtube 1.32 - Stored Cross-Site Scripting (XSS) (деталі)
Wordpress Plugin WP Video Playlist 1.1.1 - Stored Cross-Site Scripting (XSS) (деталі)
Wordpress Plugin Background Image Cropper v1.2 - Remote Code Execution (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Опубліковано в Новини сайту, Уразливості | Без Коментарів »

Діяльність Українських Кібер Військ

17:14 25.03.2026

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

У листопаді:

Перший тиждень.

Українські Кібер Війська заблокували 350 сайтів терористів https://bit.ly/40i3FNr.
Черговий документ російських терористів https://bit.ly/3sdHvzo.
Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3u0oz7M.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/49k3t4p.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/47kno14.
Нові закриті сайти терористів https://bit.ly/3soQ8qP.
Українські Кібер Війська заблокували 350 сайтів терористів https://bit.ly/3uaNIwk.

Опубліковано в Новини | Без Коментарів »

Вийшли PHP 8.3.21 і 8.4.7

23:51 24.03.2026

У травні, 08.05.2025, вийшли PHP 8.3.21 і PHP 8.4.7. У версії PHP 8.3.21 виправлено багато багів і уразливостей, у версії PHP 8.4.7 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.3.x і 8.4.x.

У PHP 8.3.21 і 8.4.7 виправлено:

Численні вибивання.
Багато витоків пам’яті.
Два витоки в OpenSSL.
Численні пошкодження пам’яті.
Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Опубліковано в Новини, Програми | Без Коментарів »

Інфіковані сайти №324

19:08 24.03.2026

Вперше з листопада 2022 року публікую добірку інфікованих сайтів.

Я не мав часу і натхнення шукати нові такі сайти через війну. В останні місяці активно в мережі поширюються експлоіти Coruna та DarkSword, шкідливий код яких заражає пристрої на iOS. У тому числі були злами та розміщення на українських ресурсах.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

https://ecobond.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих
https://novosti.dn.ua - інфекція була виявлена 20.03.2026. Зараз сайт не входить до переліку підозрілих
https://7aac.gov.ua - інфекція була виявлена 20.03.2026. Зараз сайт не входить до переліку підозрілих

Опубліковано в Дослідження | Без Коментарів »

Добірка експлоітів

16:20 24.03.2026

В даній добірці експлоіти в веб додатках:

TP-Link VN020 F3v(T) TT_V6.2.1021 - Buffer Overflow Memory Corruption (деталі)
TP-Link VN020 F3v(T) TT_V6.2.1021 - Denial Of Service (DOS) (деталі)
Langflow 1.3.0 - Remote Code Execution (RCE) (деталі)
OpenSSH server (sshd) 9.8p1 - Race Condition (деталі)
Ilevia EVE X1/X5 Server 4.7.18.0.eden - Reverse Rootshell (деталі)

Опубліковано в Експлоіти | Без Коментарів »

Похакані сайти №430

23:55 30.12.2025

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

https://kompanievska-selrada.gov.ua (хакером Panataran) - 07.09.2024 - похаканий державний сайт
https://autoliner.com.ua (хакером PantheonSec) - 18.06.2024
https://gruzovoe-taksi.kiev.ua (хакером PantheonSec) - 18.06.2024
https://v7125.dh.net.ua (хакером Ali HawleRy) - 19.06.2024
https://znz28.cv.ua (хакером Ali HawleRy) - 19.06.2024

Опубліковано в Новини сайту, Дослідження | Без Коментарів »

Уразливості на bonus.privatbank.ua

19:32 30.12.2025

Раніше, 25.03.2013, я знайшов Full path disclosure, Information Leakage, а 27.03.2013 ще Cross-Site Scripting, Full path disclosure, Information Leakage та SQL Injection уразливості на сайті bonus.privatbank.ua та 217.117.65.248 - це один сервер. В той час я вислав ці уразливості банку.

Full path disclosure (WASC-13):

Витік шляху в http://bonus.privatbank.ua/stock/ та в інших розділах.

Information Leakage (WASC-13):

Витік усього SQL запиту (SQL DB Structure Extraction) в шести місцях.

Cross-Site Scripting (WASC-08):

Виявив XSS у чотирьох місцях.

SQL Injection (WASC-19):

Виявив критичні SQL ін’єкції в двох місцях, через які визначив СУБД.

ПриватБанк тоді проігнорував їх та не оплатив, окрім деяких на сайті. Вони лише заплатили за SQL Injection (і ще пару), але в п’ять разів менше від максимальної ціни, хоча це критичні дірки й банк заявляв, що за такі платить максимум. Раніше вони мені лише по XSS та іншим діркам занижували оплату, а з цього сайту почали по SQLi.

Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на idea.privatbank.ua та інших сайтах ПБ.

Опубліковано в Уразливості | Без Коментарів »

Вийшли PHP 8.3.20 і 8.4.6

16:28 30.12.2025

У квітні, 10.04.2025, вийшли PHP 8.3.20 і PHP 8.4.6. У версії PHP 8.3.20 виправлено багато багів і уразливостей, у версії PHP 8.4.6 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.3.x і 8.4.x.

У PHP 8.3.20 і 8.4.6 виправлено:

Численні вибивання.
Багато витоків пам’яті.
Численні пошкодження пам’яті.
Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Опубліковано в Новини, Програми | Без Коментарів »

Безпека e-commerce сайтів в Уанеті №33

23:54 27.12.2025

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але на жаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних сайтах банків України:

Також згадував про взломані онлайн магазини в Уанеті:

chelshop.com

А також згадував про інфіковані онлайн магазини в Уанеті:

Так що українським банкам та e-commerce сайтам є куди покращувати свою безпеку.

Опубліковано в Дослідження | Без Коментарів »

Діяльність Українських Кібер Військ

19:31 27.12.2025

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

У вересні:

Третій тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3sVBgjD.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/3Lr6SDZ.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3PtRhom.
Відео розвідка: УКВ захопили російські камери на кордоні https://bit.ly/3EO4Fz2.
Українські Кібер Війська заблокували 350 сайтів терористів https://bit.ly/3RqmwDD.
Українські Кібер Війська виявили супутниковий знімок знищеного центру зв’язку ЧФ РФ в Криму https://bit.ly/3LuSRW7.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/453WHwb.
Це документ російських терористів https://bit.ly/3sYy4Uk.
Українські Кібер Війська заблокували 350 сайтів терористів https://bit.ly/3PNEJcW.
Українські Кібер Війська: російський окупант отримав спорядження та інше поштою в Шебекіно https://bit.ly/3EW2SrC.

Опубліковано в Новини | Без Коментарів »

Websecurity - Веб безпека

Уразливості в плагінах для WordPress №371

Діяльність Українських Кібер Військ

Вийшли PHP 8.3.21 і 8.4.7

Інфіковані сайти №324

Добірка експлоітів

Похакані сайти №430

Уразливості на bonus.privatbank.ua

Вийшли PHP 8.3.20 і 8.4.6

Безпека e-commerce сайтів в Уанеті №33

Діяльність Українських Кібер Військ

Меню

Категорії

Останні повідомлення

Архів +-

Мета