Веб-уязвимости | Немезида ВАФ

В популярном WAF ModSecurity (libModSecurity) обнаружена уязвимость CVE-2024-1019 с уровенем 8.6 (ВЫСОКИЙ) по CVSS 3.1, позволяющая произвести обход защиты. Уязвимость возникает из-за декодирования символов URL-адреса в запросе до определения компонента пути URL-адреса запроса и дополнительного компонента строки запроса. Передавая символ %3F в URL-адресе, ModSecurity производит декодирование и ошибочно интерпретирует ? как символ отделения URL-адреса от

Исследователь Chen Zhaojun из Alibaba Cloud Security обнаружил критичную RCE-уязвимость (CVE-2021-44228) в популярном фреймворке для сбора логов Apache Log4j2. Уязвимость, получившая название Log4Shell, позволяет атакующему выполнять произвольный код на удаленном сервере и содержится в версиях Apache Log4j2 от 2.0-beta9 до 2.14.1. Информация представлена в ознакомительных целях, не нарушайте законодательство Уязвимость возникает в функции JNDI в

В популярном фреймворке Laravel версии < 8.4.2 обнаружена критическая уязвимость (CVE-2021-3129), позволяющая злоумышленнику выполнять произвольный код на сервере. Уязвимость возникает, если включен режим отладки и активирован модуль ignition (версии < 2.5.2), отвечающий за генерацию страниц с ошибками в Laravel.

В CMS Drupal обнаружены множественные уязвимости, связанные с загрузкой и обработкой файлов с разрешением .tar, .tar.gz, .bz2 и .tlz (CVE-2020-28948, CVE-2020-28949). Успешное использование этой уязвимости позволит удаленно выполнить произвольный код в контексте уязвимого приложения.

В веб-сервере Apache Tomcat обнаружена критическая уязвимость (CVE-2020-9484), позволяющая злоумышленнику выполнить произвольный код на удаленной системе.

В плагине wpDiscuz, который расширяет возможности и дизайн комментариев для сайтов на базе CMS WordPress, обнаружена критическая уязвимость, позволяющая пользователям загружать произвольные файлы на сервер, а затем выполнять произвольный код на более чем 70000 сайтов, на которых установлен плагин.

В плагине File Manager, которым пользуются более 700 000 сайтов на базе WordPress, обнаружена опасная уязвимость, которая позволяет выполнять команды и вредоносные скрипты на уязвимых сайтах. О наличии этой узвимости и первых ее эксплуатациях сообщили эксперты из таиландской компании NinTechNet.

В Python-фреймворке Django версий < 3.0 < 2.2 < 1.11, предназначенном для создания веб-приложений, обнаружена уязвимость класса Account Hijack.

В плагине Chop Slider 3.4, предназначенном для создания слайд-шоу, обнаружена уязвимость типа «Blind SQL Injection».

Постоянный рост хакерской активности и отсутствие контроля за безопасностью веб-приложений сопровождается массовой компрометацией ресурсов. Как злоумышленник может атаковать сайт на примере интернет-магазина, к каким последствиям это приводит и как противодействовать таким атакам, особенно в период повышенной нагрузки, мы поделимся в этой статье.