We are just days away from our annual #BSidesBoulder event on 13 June and just about 40 tickets are left. Today, we're highlighting an application of AI talk.

⚔️💥 AI is building websites faster than ever — but who's checking the locks? Unlock your potential with Yash Thapliyal's #BSidesBoulder25 talk "Taking Down Websites as Fast as They're Made: Common Vulnerabilities in AI-Generated Sites" that will provide a live, fast-paced walkthrough of how platforms like Wix, Durable, and Cursor Agent are unintentionally publishing XSS, SQLi, and other vulnerabilities by default. Yash will generate a site live with the audience, then hack it! Learn how to spot the cracks, secure your builds, and stay ahead of the script kiddies. 💥⚔️

#BSides #BSidesBoulder #RedTeam #AI #WebSec #AppSec

Check out our full schedule at https://bsidesboulder.org/schedule/

Tickets are available for purchase for our 13 June event here: https://www.eventbrite.com/e/bsides-boulder-2025-registration-1290129274389

Krytyczna podatność w Cisco ISE – “losowe” poświadczenia nie do końca losowe

Cisco ISE (Identity Services Engine) to rozwiązanie łączące cechy NAC (Network Access Control) i AAA (Authentication, Authorization, and Accounting) – pozwala na realizację polityk dostępu do sieci oraz segmentację. Występuje zarówno w wersjach on-prem oraz cloud.  04 czerwca 2025, w biuletynie producenta, pojawiła się informacja o krytycznej podatności oznaczonej jako...

#WBiegu #Cisco #Ise #Podatność #Websec

https://sekurak.pl/krytyczna-podatnosc-w-cisco-ise-losowe-poswiadczenia-nie-do-konca-losowe/

Uwaga na ataki na polskie serwery ~poczty. Można jednym złośliwym mailem przejąć cały serwer (Roundcube)

CERT Polska ostrzega o aktywnym ataku, celującym w niezaktualizowane oprogramowanie Roundcube (webmail – czyli klient poczty elektronicznej w przeglądarce). Podatność CVE-2024-42009 wykorzystywana jest grupę hackerską związaną z rządem Białorusi. Do udanego ataku wystarczy otworzenie złośliwego maila w przeglądarce (Roundcube). Nie trzeba nawet otwierać / pobierać żadnych załączników. CERT Polska ostrzega...

#WBiegu #Apt #Cert #Rce #Roundcube #Webmail #Websec

https://sekurak.pl/uwaga-na-ataki-na-polskie-serwery-poczty-mozna-jednym-zlosliwym-mailem-przejac-caly-serwer-roundcube/

Jak źli hakerzy atakują internetowe fora? Groźne podatności vBulletin i polski wątek

Fora internetowe, chociaż lata świetności mają już za sobą, wciąż stanowią nieodłączny element krajobrazu Internetu. Mimo olbrzymiej ofensywy przeprowadzonej przez social media, na rynku można znaleźć kilka silników forumowych, znanych od lat. Utrzymanie takich platform z zachowaniem najlepszych praktyk bezpieczeństwa wymaga od administratorów tak oczywistych akcji jak np. przeprowadzanie regularnych...

#WBiegu #Nuclei #Podatność #Rce #Vbulletin #Websec

https://sekurak.pl/jak-zli-hakerzy-atakuja-internetowe-fora-grozne-podatnosci-vbulletin-i-polski-watek/

Zdalne wykonanie kodu bez uwierzytelnienia – Ivanti Endpoint Manager Mobile

Ivanti to jedna z tych firm, która często gości na łamach portalu sekurak.pl. Dzieje się tak za sprawą ogromnego zainteresowania ze strony badaczy bezpieczeństwa, ale także i cyberprzestępców, co przekłada się na stosunkowo dużą liczbę ujawnionych błędów (nie bez winy jest fakt, że rozwiązania bezpieczeństwa – chociaż Ivanti nie jest...

#WBiegu #Android #Bypass #IOS #Ivanti #Mdm #Rce #Websec

https://sekurak.pl/zdalne-wykonanie-kodu-bez-uwierzytelnienia-ivanti-endpoint-manager-mobile/

Banalna podatność, która mogła być wykorzystania w Internetowym Koncie Pacjenta (IKP). Można było pozyskiwać dane innych osób (również o zdrowiu).

Jak czytamy w oświadczeniu: „(…) w przypadku wprowadzenia zmian w adresie URL w przeglądarce internetowej podczas pracy z aplikacją IKP możliwy był nieuprawniony dostęp do dokumentacji medycznej (EDM) innych użytkowników.” Czyli pisząc po ludzku wyglądało to np. tak: /pokaz_dane_uzytkownika?id=11111 teraz ktoś wpisuje /pokaz_dane_uzytkownika?id=11112 i uzyskuje dostęp do danych osobowych (oraz...

#WBiegu #Ikp #Incydent #Websec

https://sekurak.pl/banalna-podatnosc-ktora-mogla-byc-wykorzystania-w-internetowym-koncie-pacjenta-ikp-mozna-bylo-pozyskiwac-dane-innych-osob-rowniez-o-zdrowiu/

"Cross-Site WebSocket Hijacking Exploitation in 2025"

https://blog.includesecurity.com/2025/04/cross-site-websocket-hijacking-exploitation-in-2025/

I remember, a few years ago, finding this kind of issue in a project, that I ended up working on.

#security #websec #web #webdev

4chan z problemami czyli o ataku na popularny imageboard

Internet pełen jest portali społecznościowych czy forów. O tych bardziej popularnych, chociaż owianych złą sławą, ze względu szerokie spektrum dopuszczalnych treści, należy 4chan. Portal założony pod koniec 2003 roku stał się sławny za sprawą działań swoich anonimowych użytkowników oraz kontrowersyjnych memów. 4chan zasłynął z różnych akcji, takich jak namierzanie flagi...

#WBiegu #4Chan #Atak #Deface #FreeBSD #Ghostscript #Memy #Websec

https://sekurak.pl/4chan-z-problemami-czyli-o-ataku-na-popularny-imageboard/

Jak można było czytać listę połączeń klientów sieci Verizon

Evan Connelly zaprezentował odkrytą przez siebie podatność w aplikacji  Verizon Call Filter na urządzenia z systemem iOS. Co prawda problem dotyczy klientów tej amerykańskiej sieci GSM, jednak postanowiliśmy opisać błąd leżący u podstaw tej podatności, ponieważ z doświadczenia wiemy, że luki klasy IDOR (ang. Insecure Direct Object Reference) pojawiają się...

#WBiegu #Billing #IDOR #Podatność #Verizon #Websec

https://sekurak.pl/jak-mozna-bylo-czytac-liste-polaczen-klientow-sieci-verizon/

Fortinet zaleca aktualizację oprogramowania FortiSwitch – możliwa jest nieautoryzowana zmiana hasła

Podatności w firmware bram dostępowych, zaporach sieciowych czy przełącznikach sieciowych zdarzają się niestety często, a do tego niosą za sobą szczególne niebezpieczeństwo ze względu na rolę, jaką pełnią w ekosystemie.  O dzisiejszym bohaterze pisaliśmy nie raz. Tym razem krytyczna podatność, oznaczona numerem CVE-2024-48887 i wyceniona na 9.3 w skali CVSS3.1...

#WBiegu #Fortinet #Fortiswitch #Podatność #Rce #Websec

https://sekurak.pl/fortinet-zaleca-aktualizacje-oprogramowania-fortiswitch-mozliwa-jest-nieautoryzowana-zmiana-hasla/

Kiedy podatność przypomina backdoora – Next.js CVE-2025-29927 i obejście logiki middleware

Krytyczna podatność (CVSS3.1 na poziomie 9.1) we frameworku JS ściąganym niemal 10 milionów razy w tygodniu, która pozwala na obejście uwierzytelniania? Brzmi jak idealna piątkowa publikacja. Tak też się stało 21.03.2025, kiedy światło dzienne ujrzała podatność zgłoszona niemal miesiąc wcześniej przez dwóch badaczy – @zhero___ oraz @inzo___. Przyjrzeli się oni...

#WBiegu #Exploit #Js #Middleware #Podatność #Websec

https://sekurak.pl/kiedy-podatnosc-przypomina-backdoora-next-js-cve-2025-29927-i-obejscie-logiki-middleware/

⚠️ Une faille critique dans Next.js permet de contourner les vérifications d'autorisation effectuées dans le middleware.

👉 Framework React trés populaire pour le rendu web côté serveur.

🔍 Détails techniques

En injectant l'en-tête x-middleware-subrequest, un attaquant peut bypasser les contrôles d'accès et accéder à des ressources normalement protégées.

💥 Exploit documenté ici
⬇️
"Next.js and the corrupt middleware: the authorizing artifact"
👇
https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

🛡️ Versions vulnérables

• 15.x < 15.2.3
  
• 14.x < 14.2.25
  
• 11.1.4 → 13.5.6

🔧 Solutions

✔️ Mettez à jour vers 15.2.3 ou 14.2.25

👇
https://nextjs.org/blog/cve-2025-29927
⬇️
https://github.com/advisories/GHSA-f82v-jwr5-mffw

✔️ En attendant : bloquez les requêtes contenant x-middleware-subrequest côté serveur / WAF

🛰️ Et effectivement selon le moteur de recherche de surface d’attaque ONYPHE,

il y en a un paquet… y compris en Suisse 🇨🇭

#CyberVeille #NextJS #CVE_2025_29927 #websec #infosec #onyphe #ASD

Dlaczego hackowanie aplikacji webowych jest proste? Bezpłatne szkolenie od sekuraka

Zapraszamy Cię na najnowszą edycję szkolenia: dlaczego hackowanie aplikacji webowych jest proste? Ponownie zaprezentujemy najciekawsze, najpoważniejsze czy najbardziej absurdalne podatności zlokalizowane w ostatnim ~roku. Na szkolenie możesz zapisać się bezpłatnie tutaj (w ramach zapisu dostępne jest też nagranie). Agenda: Szkolenie odbędzie się 18 marca 2025, online, start: 20:00 -> 21:30....

#WBiegu #Szkolenie #Websec

https://sekurak.pl/dlaczego-hackowanie-aplikacji-webowych-jest-proste-bezplatne-szkolenie-od-sekuraka/

Websecurity Master od sekuraka – rusza druga edycja topowego szkolenia z bezpieczeństwa aplikacji webowych. Sprawdź nas i zapisz się na bezpłatną sesję szkolenia!

Zanotujcie sobie tę datę w kalendarzu. 8 kwietnia br. ruszamy z drugą edycją Websecurity Master od sekuraka – najbardziej kompletnego kursu o bezpieczeństwie aplikacji webowych w Polsce! Pierwsza edycja z 2024 r. przyciągnęła ponad 200 osób i została oceniona przez uczestników na 4,9/5. Teraz wracamy z jeszcze lepszym kontentem: ataki,...

#Aktualności #Jarosiński #Kruczek #Lewczak #Rzepecki #Szkolenie #WebSecurityMaster #Websec

https://sekurak.pl/websecurity-master-od-sekuraka-rusza-druga-edycja-topowego-szkolenia-z-bezpieczenstwa-aplikacji-webowych-sprawdz-nas-i-zapisz-sie-na-bezplatna-sesje-szkolenia/

Można było w GitLabie zmienić hasło dowolnemu użytkownikowi, znając tylko jego e-maila. Za zgłoszenie podatności wypłacono $35000

Jeden obraz warty jest w tym przypadku $35000. Oto ten „obraz”: Część z Was już zapewne widzi o co tutaj chodziło…: Podatność została załatana, a zgłaszający otrzymał $35000 w ramach wynagrodzenia bug bounty. PSJeśli chciałbyś nauczyć się szukać między innymi takich podatności (oraz unikać ich w swoich projektach), to zapraszamy...

#WBiegu #Gitlab #Hasło #Podatność #Websec

https://sekurak.pl/mozna-bylo-w-gitlabie-zmienic-haslo-dowolnemu-uzytkownikowi-znajac-tylko-jego-e-maila-za-zgloszenie-podatnosci-wyplacono-35000/

Czy możliwy jest atak SQL Injection w 2025 roku? Tak, poprzez parsowanie znaków w psql

Ostatnio głośno było o atakach na Departament Skarbu, które zostały przypisane chińskim grupom APT. Atakujący wykorzystywali podatności w produktach BeyondTrust Privileged Remote Access oraz Remote Support, które pozwalały na zdalne wykonanie poleceń. Podatności zostały sklasyfikowane jako CVE-2024-12356. TLDR: W czasie poszukiwań RCE, badacze z Rapid7 natknęli się na podatność SQL...

#WBiegu #BazyDanych #Postgresql #SQLInjection #Websec

https://sekurak.pl/czy-mozliwy-jest-atak-sql-injection-w-2025-roku-tak-poprzez-parsowanie-znakow-w-psql/

Nieoczywista podatność w interface administracyjnym urządzeń Palo Alto. Możliwość ominięcia uwierzytelnienia. CVE-2025-0108

Dla lubiących korzystać tylko z materiałów źródłowych polecam to opracowanie oraz informacje o łatce producenta. No dobra, o co tutaj chodzi? Urządzenie ma skonfigurowany Nginx na froncie (w szczególności podejmuje on decyzję, które żądanie uwierzytelnić, a które nie), oraz serwer webowy Apache w backendzie (tutaj działa aplikacja). Na starcie Nginx...

#WBiegu #Apache #Iot #Nginx #PaloAlto #PathConfusion #Websec

https://sekurak.pl/nieoczywista-podatnosc-w-interface-administracyjnym-urzadzen-palo-alto-mozliwosc-ominiecia-uwierzytelnienia-cve-2025-0108/

Prostym mykiem można było poznać e-maila dowolnego użytkownika YouTube.

Zerknijcie na ten research. Najpierw okazało się, że funkcja blokowania użytkownika zdradzała jego tzw. GaiaID (czyli taki globalny ID użytkownika w kontekście usług Google). Np.: 103261974221829892167 Ten IDek można było poznać nawet bez realnego zablokowania użytkownika. Teraz wystarczyło znaleźć jakąś usługę, która przetłumaczyłaby GaiaID na emaila użytkownika-ofiary. Badacze zlokalizowali stary,...

#WBiegu #BugBounty #Google #Mail #Recon #Websec #Youtube

https://sekurak.pl/prostym-mykiem-mozna-bylo-poznac-e-maila-dowolnego-uzytkownika-youtube/

"Secure by Design: Google's Blueprint for a High-Assurance Web Framework"

https://bughunters.google.com/blog/6644316274294784/secure-by-design-google-s-blueprint-for-a-high-assurance-web-framework

#security #websec #appsec

uBlockOrigin & uBlacklist Huge AI Blocklist

A huge blocklist of manually curated sites (1000+) that contain AI generated content, for the purposes of cleaning image search engines (Google Search, DuckDuckGo, and Bing) with @ublockorigin or uBlacklist. Also works on mobile (iOS, iPadOS, Android) via uBlacklist, as well as pihole/adguard.

✋ https://github.com/laylavish/uBlockOrigin-HUGE-AI-Blocklist?tab=readme-ov-file#ublockorigin--ublacklist-huge-ai-blocklist

#blocklist #ublockorigin #noai #web #ai #websec #online #privacy #onlinesafety #android #ios #ipados #firefox #browser