Eksperter på nettsikkerhet har distribuert informasjon om tre sårbarheter med cross-site scripting (XSS) i populære open source-applikasjoner som kan forårsake ekstern kjøring av kode (RCE).
Et primitivt XSS-angrep lar trusselaktørens JavaScript-kode kjøres i offerbrukerens nettleser, noe som åpner døren for tyveri av informasjonskapsler, omdirigerer til et phishing-nettsted og mye mer.
Cross-Site Scripting (XSS) er et av de mest utbredte angrepene i nettapper. Hvis en trusselaktør implementerer javascript-kode i appens utdata, stjeler den ikke bare informasjonskapsler, men fører også noen ganger til fullstendig kompromittering av systemene.
Den første feilen, Evolution CMS V3.1.8, lar en hacker starte et reflektert XSS-angrep på forskjellige steder i administrasjonsdelen. Aleksey Solovev opplyser at i tilfelle et vellykket angrep på en autorisert administrator i systemet, vil index.php-filen bli overskrevet med koden som angriperen plasserte i nyttelasten.
Den andre sårbarheten, oppdaget i FUDForum v3.1.1, kan tillate en hacker å starte et lagret XSS-angrep. Aleksey Solovev sier at FUDforum er et superraskt og skalerbart diskusjonsforum. Den er svært tilpassbar og støtter et ubegrenset antall medlemmer, fora, innlegg, emner, avstemninger og vedlegg.
FUDforums administrasjonspanel har en filbehandler som lar deg laste opp filer til serveren, inkludert filer med PHP-utvidelsen. En angriper kan bruke arkivert XSS til å laste opp en PHP-fil som kan utføre en hvilken som helst kommando på serveren.
I den siste sårbarheten, Bitbucket v4.37.1, ble det funnet en sikkerhetsfeil som kunne tillate en angriper å starte et XSS-angrep lagret på forskjellige steder. Aleksey Solovev uttaler at å ha et arkivert XSS-angrep kan forsøke å utnytte det til å kjøre kode på serveren. Administrasjonspanelet har verktøy for å kjøre SQL-spørringer.
GitBucket bruker H2 Database Engine som standarddefinita. For denne databasen er det en offentlig tilgjengelig utnyttelse for å oppnå ekstern kjøring av kode. Så alt en angriper trenger å gjøre er å lage en PoC-kode basert på denne utnyttelsen, laste den opp til depotet og bruke den under et angrep:
Oppdater alltid Open Source-plattformen, installer umiddelbart eventuelle korrigerende patcher.
Be om råd, en evaluering, et estimat for hvordan du kan sikre systemet ditt.
Det er den grunnleggende prosessen for å måle bedriftens nåværende sikkerhetsnivå.
For å gjøre dette er det nødvendig å involvere et tilstrekkelig forberedt cyberteam, i stand til å utføre en analyse av tilstanden selskapet befinner seg i med hensyn til IT-sikkerhet.
Analysen kan utføres synkront, gjennom et intervju utført av Cyber Team eller
også asynkron, ved å fylle ut et spørreskjema på nett.
Vi kan hjelpe deg, ta kontakt med spesialistene på ilwebcreativo.it skriver til info@ilwebcreativo.it eller ved å chatte på whatsapp direkte ved å bruke ikonet nederst til høyre.
Det mørke nettet refererer til innholdet på World Wide Web i mørkenett som kan nås via Internett gjennom spesifikk programvare, konfigurasjoner og tilganger.
Med vår sikkerhetsnettovervåking er vi i stand til å forhindre og begrense cyberangrep, fra analyse av bedriftens domene (f.eks.: ilwebcreativo.it ) og individuelle e-postadresser.
Kontakt oss via vhatsapp, vi kan utarbeide en utbedringsplan for å isolere trusselen, forhindre spredning og defivi tar de nødvendige utbedringstiltakene. Tjenesten tilbys 24/XNUMX fra Italia
CyberDrive er en skyfilbehandler med høye sikkerhetsstandarder takket være den uavhengige krypteringen av alle filer. Sørg for sikkerheten til bedriftsdata mens du jobber i skyen og deler og redigerer dokumenter med andre brukere. Hvis forbindelsen blir brutt, lagres ingen data på brukerens PC. CyberDrive forhindrer at filer går tapt på grunn av utilsiktet skade eller eksfiltrert for tyveri, enten det er fysisk eller digitalt.
Det minste og kraftigste in-a-box datasenteret tilbyr datakraft og beskyttelse mot fysisk og logisk skade. Designet for dataadministrasjon i edge- og robomiljøer, detaljhandelsmiljøer, profesjonelle kontorer, eksterne kontorer og små bedrifter der plass, kostnad og energiforbruk er avgjørende. Det krever ikke datasentre og rackskap. Den kan plasseres i alle typer miljøer takket være den estetiske innvirkningen i harmoni med arbeidsplassene. «The Cube» setter bedriftsprogramvareteknologi til tjeneste for små og mellomstore bedrifter.
For å undersøke sikkerhetsproblemer, for å løse sårbarheter, for å sikre informasjonssystemet ditt, stol alltid på spesialister i sektoren:
Ercole Palmeri: Innovasjonsavhengig
â € <
Enhver virksomhet produserer mye data, selv i forskjellige former. Skriv inn disse dataene manuelt fra et Excel-ark for å...
Kompromisset med bedrifts-e-poster økte mer enn det dobbelte i de tre første månedene av 2024 sammenlignet med siste kvartal av...
Prinsippet for grensesnittsegregering er ett av de fem SOLID prinsippene for objektorientert design. En klasse skal ha...
Microsoft Excel er referanseverktøyet for dataanalyse, fordi det tilbyr mange funksjoner for å organisere datasett,...
Walliance, SIM og plattform blant de ledende i Europa innen eiendoms Crowdfunding siden 2017, kunngjør fullføringen...
Filament er et "akselerert" Laravel-utviklingsrammeverk, som gir flere fullstack-komponenter. Den er designet for å forenkle prosessen med...
«Jeg må tilbake for å fullføre utviklingen min: Jeg vil projisere meg selv inne i datamaskinen og bli ren energi. En gang bosatt seg i…
Google DeepMind introduserer en forbedret versjon av sin kunstige intelligens-modell. Den nye forbedrede modellen gir ikke bare...
