// দুর্বলতা গবেষণা
এআই দ্বারা তৈরি ওয়েবসাইট এবং অ্যাপের জন্য দুর্বলতা গবেষণা।
এআই-উত্পন্ন ওয়েব অ্যাপ, BaaS স্ট্যাক, ফ্রন্টএন্ড বান্ডেল, প্রমাণীকরণ এবং নির্ভরতা সুরক্ষার জন্য গুরুত্বপূর্ণ দুর্বলতার উপর সূত্র-ভিত্তিক নোট।
ঘোস্ট কন্টেন্টে এসকিউএল ইনজেকশন API (CVE-2026-26980)
ঘোস্ট সংস্করণ 3.24.0 থেকে 6.19.0 পর্যন্ত API বিষয়বস্তুর মধ্যে একটি জটিল SQL ইনজেকশন দুর্বলতা রয়েছে। এটি অননুমোদিত আক্রমণকারীদের নির্বিচারে এসকিউএল কমান্ডগুলি চালানোর অনুমতি দেয়, সম্ভাব্যভাবে ডেটা এক্সফিল্ট্রেশন বা অননুমোদিত পরিবর্তনের দিকে পরিচালিত করে।
সব research
34 প্রবন্ধ
টেমপ্লেট ট্যাগ (CVE-2016-7998) এর মাধ্যমে SPIP-এ রিমোট কোড এক্সিকিউশন
SPIP সংস্করণ 3.1.2 এবং তার আগের টেমপ্লেট কম্পোজারে একটি দুর্বলতা রয়েছে। প্রমাণীকৃত আক্রমণকারীরা সার্ভারে নির্বিচারে পিএইচপি কোড চালানোর জন্য তৈরি করা অন্তর্ভুক্ত বা অন্তর্ভুক্ত ট্যাগ সহ HTML ফাইল আপলোড করতে পারে।
জোনমাইন্ডার অ্যাপাচি কনফিগারেশন তথ্য প্রকাশ (CVE-2016-10140)
জোনমাইন্ডার সংস্করণ 1.29 এবং 1.30 একটি বান্ডিল Apache HTTP সার্ভার ভুল কনফিগারেশন দ্বারা প্রভাবিত হয়। এই ত্রুটিটি দূরবর্তী, অপ্রমাণিত আক্রমণকারীদের ওয়েব রুট ডিরেক্টরি ব্রাউজ করার অনুমতি দেয়, সম্ভাব্যভাবে সংবেদনশীল তথ্য প্রকাশ এবং প্রমাণীকরণ বাইপাসের দিকে পরিচালিত করে।
Next.js সিকিউরিটি হেডার next.config.js এ ভুল কনফিগারেশন
হেডার ম্যানেজমেন্টের জন্য next.config.js ব্যবহার করে Next.js অ্যাপ্লিকেশানগুলি যদি পাথ-ম্যাচিং প্যাটার্নগুলি অসম্পূর্ণ হয় তবে নিরাপত্তা ফাঁকের জন্য সংবেদনশীল। এই গবেষণাটি অন্বেষণ করে যে কীভাবে ওয়াইল্ডকার্ড এবং রেজেক্স ভুল কনফিগারেশনগুলি সংবেদনশীল রুটে নিরাপত্তা শিরোনাম অনুপস্থিত হয় এবং কীভাবে কনফিগারেশনকে শক্ত করা যায়।
অপর্যাপ্ত নিরাপত্তা হেডার কনফিগারেশন
ওয়েব অ্যাপ্লিকেশনগুলি প্রায়শই প্রয়োজনীয় সুরক্ষা শিরোনামগুলি প্রয়োগ করতে ব্যর্থ হয়, ব্যবহারকারীদের ক্রস-সাইট স্ক্রিপ্টিং (XSS), ক্লিকজ্যাকিং এবং ডেটা ইনজেকশনের সংস্পর্শে ফেলে। প্রতিষ্ঠিত ওয়েব নিরাপত্তা নির্দেশিকা অনুসরণ করে এবং MDN অবজারভেটরির মতো অডিটিং টুল ব্যবহার করে, বিকাশকারীরা সাধারণ ব্রাউজার-ভিত্তিক আক্রমণের বিরুদ্ধে তাদের অ্যাপ্লিকেশনগুলিকে উল্লেখযোগ্যভাবে কঠোর করতে পারে।
দ্রুত ওয়েব বিকাশে OWASP শীর্ষ 10 ঝুঁকি হ্রাস করা
ইন্ডি হ্যাকার এবং ছোট দলগুলি প্রায়শই দ্রুত শিপিং করার সময় অনন্য নিরাপত্তা চ্যালেঞ্জের সম্মুখীন হয়, বিশেষ করে AI-জেনারেটেড কোডের সাথে। এই গবেষণাটি CWE শীর্ষ 25 এবং OWASP বিভাগগুলির পুনরাবৃত্তিমূলক ঝুঁকিগুলিকে হাইলাইট করে, যার মধ্যে ভাঙা অ্যাক্সেস নিয়ন্ত্রণ এবং অনিরাপদ কনফিগারেশন রয়েছে, যা স্বয়ংক্রিয় নিরাপত্তা চেকের জন্য একটি ভিত্তি প্রদান করে।
AI-জেনারেটেড অ্যাপ্লিকেশনগুলিতে অনিরাপদ HTTP হেডার কনফিগারেশন
AI সহকারীর দ্বারা উত্পন্ন অ্যাপ্লিকেশনগুলিতে ঘন ঘন প্রয়োজনীয় HTTP নিরাপত্তা শিরোনামের অভাব থাকে, যা আধুনিক নিরাপত্তা মান পূরণ করতে ব্যর্থ হয়। এই বাদ দেওয়া ওয়েব অ্যাপ্লিকেশনগুলিকে সাধারণ ক্লায়েন্ট-সাইড আক্রমণের জন্য ঝুঁকিপূর্ণ করে। Mozilla HTTP অবজারভেটরির মতো বেঞ্চমার্ক ব্যবহার করে, ডেভেলপাররা তাদের অ্যাপ্লিকেশনের নিরাপত্তা ভঙ্গি উন্নত করতে CSP এবং HSTS এর মতো অনুপস্থিত সুরক্ষাগুলি সনাক্ত করতে পারে।
ক্রস-সাইট স্ক্রিপ্টিং (XSS) দুর্বলতা সনাক্ত করা এবং প্রতিরোধ করা
ক্রস-সাইট স্ক্রিপ্টিং (XSS) ঘটে যখন একটি অ্যাপ্লিকেশন সঠিক বৈধতা বা এনকোডিং ছাড়াই একটি ওয়েব পৃষ্ঠাতে অবিশ্বস্ত ডেটা অন্তর্ভুক্ত করে। এটি আক্রমণকারীদের শিকারের ব্রাউজারে দূষিত স্ক্রিপ্টগুলি চালানোর অনুমতি দেয়, যার ফলে সেশন হাইজ্যাকিং, অননুমোদিত ক্রিয়াকলাপ এবং সংবেদনশীল ডেটা এক্সপোজার হয়৷
LiteLLM প্রক্সি SQL ইনজেকশন (CVE-2026-42208)
LiteLLM-এর প্রক্সি কম্পোনেন্টে একটি জটিল SQL ইনজেকশন দুর্বলতা (CVE-2026-42208) আক্রমণকারীদের API কী যাচাইকরণ প্রক্রিয়াকে কাজে লাগিয়ে প্রমাণীকরণ বাইপাস বা সংবেদনশীল ডাটাবেস তথ্য অ্যাক্সেস করতে দেয়।
Vibe কোডিং এর নিরাপত্তা ঝুঁকি: AI-জেনারেটেড কোড অডিটিং
'ভাইব কোডিং'-এর উত্থান—প্রাথমিকভাবে দ্রুত AI প্রম্পটিংয়ের মাধ্যমে অ্যাপ্লিকেশন তৈরি করা—হার্ডকোডেড শংসাপত্র এবং অনিরাপদ কোড প্যাটার্নের মতো ঝুঁকির পরিচয় দেয়৷ যেহেতু AI মডেলগুলি দুর্বলতা সম্বলিত প্রশিক্ষণ ডেটার উপর ভিত্তি করে কোডের পরামর্শ দিতে পারে, তাই তাদের আউটপুটকে অবিশ্বস্ত হিসাবে বিবেচনা করা উচিত এবং ডেটা এক্সপোজার রোধ করতে স্বয়ংক্রিয় স্ক্যানিং সরঞ্জামগুলি ব্যবহার করে নিরীক্ষা করা উচিত।
JWT নিরাপত্তা: অনিরাপদ টোকেন এবং দাবির বৈধতা অনুপস্থিত হওয়ার ঝুঁকি
JSON ওয়েব টোকেন (JWTs) দাবি স্থানান্তর করার জন্য একটি মান প্রদান করে, কিন্তু নিরাপত্তা কঠোর বৈধতার উপর নির্ভর করে। স্বাক্ষর, মেয়াদ শেষ হওয়ার সময়, বা অভিপ্রেত শ্রোতা যাচাই করতে ব্যর্থ হলে আক্রমণকারীদের প্রমাণীকরণ বাইপাস বা টোকেন রিপ্লে করতে দেয়।
Vercel স্থাপনা সুরক্ষিত করা: সুরক্ষা এবং শিরোলেখ সর্বোত্তম অনুশীলন
এই গবেষণা Vercel-হোস্ট করা অ্যাপ্লিকেশনগুলির জন্য নিরাপত্তা কনফিগারেশনগুলি অন্বেষণ করে, ডিপ্লয়মেন্ট সুরক্ষা এবং কাস্টম HTTP শিরোনামগুলিতে ফোকাস করে৷ এটি ব্যাখ্যা করে যে কীভাবে এই বৈশিষ্ট্যগুলি পূর্বরূপ পরিবেশগুলিকে রক্ষা করে এবং অননুমোদিত অ্যাক্সেস এবং সাধারণ ওয়েব আক্রমণ প্রতিরোধ করতে ব্রাউজার-সাইড নিরাপত্তা নীতিগুলি প্রয়োগ করে৷
LibreNMS (CVE-2024-51092)-এ গুরুতর ওএস কমান্ড ইনজেকশন
24.9.1 পর্যন্ত LibreNMS সংস্করণগুলিতে একটি জটিল OS কমান্ড ইনজেকশন দুর্বলতা রয়েছে (CVE-2024-51092)। প্রমাণীকৃত আক্রমণকারীরা হোস্ট সিস্টেমে নির্বিচারে আদেশগুলি চালাতে পারে, যা সম্ভাব্যভাবে পর্যবেক্ষণ পরিকাঠামোর সম্পূর্ণ সমঝোতার দিকে পরিচালিত করে।
প্রক্সি API কী যাচাইকরণে LiteLLM SQL ইনজেকশন (CVE-2026-42208)
LiteLLM সংস্করণ 1.81.16 থেকে 1.83.6 পর্যন্ত প্রক্সি API কী যাচাইকরণ যুক্তিতে একটি জটিল SQL ইনজেকশন দুর্বলতা রয়েছে। এই ত্রুটিটি অপ্রমাণিত আক্রমণকারীদের প্রমাণীকরণ নিয়ন্ত্রণগুলি বাইপাস করতে বা অন্তর্নিহিত ডাটাবেস অ্যাক্সেস করতে দেয়। সমস্যাটি 1.83.7 সংস্করণে সমাধান করা হয়েছে।
Firebase নিরাপত্তা নিয়ম: অননুমোদিত ডেটা এক্সপোজার রোধ করা
Firebase নিরাপত্তা বিধি হল ফায়ারস্টোর এবং ক্লাউড স্টোরেজ ব্যবহার করে সার্ভারহীন অ্যাপ্লিকেশনগুলির জন্য প্রাথমিক প্রতিরক্ষা৷ যখন এই নিয়মগুলি খুব অনুমোদিত হয়, যেমন উৎপাদনে বিশ্বব্যাপী পঠন বা লেখার অ্যাক্সেসের অনুমতি দেওয়া, আক্রমণকারীরা সংবেদনশীল ডেটা চুরি বা মুছে ফেলার উদ্দেশ্যে অ্যাপ্লিকেশন লজিক বাইপাস করতে পারে। এই গবেষণাটি সাধারণ ভুল কনফিগারেশন, 'পরীক্ষা মোড' ডিফল্টের ঝুঁকি এবং কীভাবে পরিচয়-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ বাস্তবায়ন করা যায় তা অনুসন্ধান করে।
CSRF সুরক্ষা: অননুমোদিত রাষ্ট্র পরিবর্তনের বিরুদ্ধে রক্ষা করা
ক্রস-সাইট অনুরোধ জালিয়াতি (CSRF) ওয়েব অ্যাপ্লিকেশনগুলির জন্য একটি উল্লেখযোগ্য হুমকি রয়ে গেছে। এই গবেষণাটি অন্বেষণ করে যে কীভাবে জ্যাঙ্গোর মতো আধুনিক ফ্রেমওয়ার্ক সুরক্ষা প্রয়োগ করে এবং কীভাবে একইসাইটের মতো ব্রাউজার-স্তরের বৈশিষ্ট্যগুলি অননুমোদিত অনুরোধগুলির বিরুদ্ধে গভীরভাবে সুরক্ষা প্রদান করে।
API নিরাপত্তা চেকলিস্ট: লাইভে যাওয়ার আগে 12টি জিনিস চেক করতে হবে
APIগুলি হল আধুনিক ওয়েব অ্যাপ্লিকেশনগুলির মেরুদণ্ড কিন্তু প্রায়শই ঐতিহ্যগত ফ্রন্টএন্ডগুলির নিরাপত্তা কঠোরতার অভাব রয়েছে৷ এই গবেষণা নিবন্ধটি APIs সুরক্ষিত করার জন্য একটি অপরিহার্য চেকলিস্টের রূপরেখা দেয়, অ্যাক্সেস নিয়ন্ত্রণের উপর ফোকাস করে, হার সীমিত করে, এবং ক্রস-অরিজিন রিসোর্স শেয়ারিং (CORS) ডেটা লঙ্ঘন এবং পরিষেবার অপব্যবহার রোধ করতে।
API কী লিকেজ: আধুনিক ওয়েব অ্যাপে ঝুঁকি এবং প্রতিকার
ফ্রন্টএন্ড কোড বা সংগ্রহস্থলের ইতিহাসে হার্ড-কোডেড গোপনীয়তা আক্রমণকারীদের ছদ্মবেশী পরিষেবা, ব্যক্তিগত ডেটা অ্যাক্সেস করতে এবং খরচ বহন করার অনুমতি দেয়। এই নিবন্ধটি গোপন ফাঁসের ঝুঁকি এবং পরিষ্কার এবং প্রতিরোধের জন্য প্রয়োজনীয় পদক্ষেপগুলি কভার করে৷
CORS ভুল কনফিগারেশন: অত্যধিক অনুমতিমূলক নীতির ঝুঁকি
ক্রস-অরিজিন রিসোর্স শেয়ারিং (CORS) হল একই-অরিজিন পলিসি (SOP) শিথিল করার জন্য ডিজাইন করা একটি ব্রাউজার মেকানিজম। আধুনিক ওয়েব অ্যাপের জন্য প্রয়োজনীয় হলেও, অনুপযুক্ত বাস্তবায়ন—যেমন অনুরোধকারীর অরিজিন হেডারকে প্রতিধ্বনিত করা বা 'নাল' মূলকে হোয়াইটলিস্ট করা — ক্ষতিকারক সাইটগুলিকে ব্যক্তিগত ব্যবহারকারীর ডেটা বের করে দেওয়ার অনুমতি দিতে পারে।
MVP সুরক্ষিত করা: AI-জেনারেট করা SaaS অ্যাপগুলিতে ডেটা ফাঁস রোধ করা
দ্রুত বিকশিত SaaS অ্যাপ্লিকেশনগুলি প্রায়শই গুরুতর নিরাপত্তা তদারকিতে ভোগে। এই গবেষণাটি অনুসন্ধান করে যে কীভাবে ফাঁস হওয়া গোপনীয়তা এবং ভাঙা অ্যাক্সেস নিয়ন্ত্রণ, যেমন অনুপস্থিত রো লেভেল সিকিউরিটি (RLS), আধুনিক ওয়েব স্ট্যাকগুলিতে উচ্চ-প্রভাব দুর্বলতা তৈরি করে৷