Pakar keselamatan siber telah mengedarkan maklumat tentang tiga kelemahan skrip rentas tapak (XSS) dalam aplikasi sumber terbuka popular yang boleh menyebabkan pelaksanaan kod jauh (RCE).
Serangan XSS primitif membolehkan kod JavaScript pelaku ancaman dilaksanakan dalam penyemak imbas web pengguna mangsa, yang membuka pintu kepada kecurian kuki, mengubah hala ke tapak pancingan data dan banyak lagi.
Skrip Merentas Tapak (XSS) ialah salah satu serangan yang paling meluas dalam apl web. Jika pelaku ancaman melaksanakan kod javascript dalam output apl, ia bukan sahaja mencuri kuki, malah kadangkala membawa kepada pencerobohan sepenuhnya sistem.
Pepijat pertama, Evolution CMS V3.1.8, membenarkan penggodam melancarkan serangan XSS yang dicerminkan di pelbagai lokasi dalam bahagian pentadbiran. Aleksey Solovev menyatakan bahawa sekiranya serangan berjaya ke atas pentadbir yang diberi kuasa dalam sistem, fail index.php akan ditimpa dengan kod yang penyerang diletakkan dalam muatan.
Kerentanan kedua, ditemui dalam FUDForum v3.1.1, boleh membenarkan penggodam melancarkan serangan XSS yang disimpan. Aleksey Solovev mengatakan bahawa FUDforum ialah forum perbincangan yang sangat pantas dan berskala. Ia sangat disesuaikan dan menyokong ahli, forum, siaran, topik, tinjauan pendapat dan lampiran tanpa had.
Panel pentadbiran FUDforum mempunyai pengurus fail yang membolehkan anda memuat naik fail ke pelayan, termasuk fail dengan sambungan PHP. Penyerang boleh menggunakan XSS yang diarkibkan untuk memuat naik fail PHP yang boleh melaksanakan sebarang arahan pada pelayan.
Dalam kerentanan terkini, Bitbucket v4.37.1, pepijat keselamatan ditemui yang boleh membenarkan penyerang melancarkan serangan XSS yang disimpan di pelbagai lokasi. Aleksey Solovev menyatakan bahawa mempunyai serangan XSS yang diarkibkan boleh cuba mengeksploitasinya untuk melaksanakan kod pada pelayan. Panel pentadbir mempunyai alatan untuk menjalankan pertanyaan SQL.
GitBucket menggunakan Enjin Pangkalan Data H2 secara lalaidefinita. Untuk pangkalan data ini, terdapat eksploitasi yang tersedia secara umum untuk mencapai pelaksanaan kod jauh. Jadi, semua penyerang perlu lakukan ialah mencipta kod PoC berdasarkan eksploitasi ini, muat naik ke repositori dan gunakannya semasa serangan:
Sentiasa kemas kini platform Sumber Terbuka, segera pasang sebarang tampung pembetulan.
Minta nasihat, penilaian, anggaran tentang cara untuk melindungi sistem anda.
Ia adalah proses asas untuk mengukur tahap keselamatan semasa syarikat anda.
Untuk melakukan ini adalah perlu untuk melibatkan Pasukan Siber yang cukup bersedia, dapat menjalankan analisis keadaan di mana syarikat itu mendapati dirinya berkenaan dengan keselamatan IT.
Analisis boleh dijalankan secara serentak, melalui temu bual yang dijalankan oleh Pasukan Siber atau
juga tak segerak, dengan mengisi soal selidik dalam talian.
Kami boleh membantu anda, hubungi pakar ilwebcreativo.ia menulis kepada info@ilwebcreativo.it atau dengan berbual di whatsapp terus menggunakan ikon di bahagian bawah sebelah kanan.
Web gelap merujuk kepada kandungan World Wide Web dalam darknet yang boleh dicapai melalui Internet melalui perisian, konfigurasi dan akses tertentu.
Dengan Pemantauan Web Keselamatan kami, kami dapat mencegah dan membendung serangan siber, bermula daripada analisis domain syarikat (cth.: ilwebcreativo.it ) dan alamat e-mel individu.
Hubungi kami melalui vhatsapp, kami boleh menyediakan pelan pemulihan untuk mengasingkan ancaman, mencegah penyebarannya dan defikami mengambil tindakan pemulihan yang diperlukan. Perkhidmatan ini disediakan 24/XNUMX dari Itali
CyberDrive ialah pengurus fail awan dengan standard keselamatan yang tinggi terima kasih kepada penyulitan bebas semua fail. Pastikan keselamatan data korporat semasa bekerja di awan dan berkongsi serta mengedit dokumen dengan pengguna lain. Jika sambungan terputus, tiada data disimpan pada PC pengguna. CyberDrive menghalang fail daripada hilang akibat kerosakan yang tidak disengajakan atau dieksfiltrasi untuk kecurian, sama ada fizikal atau digital.
Pusat data dalam kotak terkecil dan paling berkuasa yang menawarkan kuasa pengkomputeran dan perlindungan daripada kerosakan fizikal dan logik. Direka untuk pengurusan data dalam persekitaran edge dan robo, persekitaran runcit, pejabat profesional, pejabat terpencil dan perniagaan kecil yang memerlukan ruang, kos dan penggunaan tenaga. Ia tidak memerlukan pusat data dan kabinet rak. Ia boleh diletakkan dalam mana-mana jenis persekitaran terima kasih kepada kesan estetika yang selaras dengan ruang kerja. «The Cube» meletakkan teknologi perisian perusahaan untuk perkhidmatan perniagaan kecil dan sederhana.
Untuk menyiasat isu keselamatan, untuk menyelesaikan kelemahan, untuk melindungi sistem maklumat anda, sentiasa bergantung pada pakar dalam sektor ini:
Ercole Palmeri: Inovasi ketagih
Google DeepMind sedang memperkenalkan versi yang dipertingkatkan bagi model kecerdasan buatannya. Model baharu yang dipertingkatkan menyediakan bukan sahaja…
Laravel, terkenal dengan sintaks yang elegan dan ciri berkuasa, juga menyediakan asas yang kukuh untuk seni bina modular. di sana…
Cisco dan Splunk membantu pelanggan mempercepatkan perjalanan mereka ke Pusat Operasi Keselamatan (SOC) masa depan dengan…
Ransomware telah mendominasi berita selama dua tahun kebelakangan ini. Kebanyakan orang sedar bahawa serangan…
Operasi oftalmoplasti menggunakan pemapar komersial Apple Vision Pro telah dilakukan di Poliklinik Catania…
Membangunkan kemahiran motor halus melalui pewarnaan menyediakan kanak-kanak untuk kemahiran yang lebih kompleks seperti menulis. Untuk mewarna…
Sektor tentera laut adalah kuasa ekonomi global yang sebenar, yang telah menavigasi ke arah pasaran 150 bilion...
Isnin lalu, Financial Times mengumumkan perjanjian dengan OpenAI. FT melesenkan kewartawanannya bertaraf dunia…
