// vulnerability research
Vulnerability research for AI-built websites and apps.
Source-grounded notes on vulnerabilities that matter to AI-generated web apps, BaaS stacks, frontend bundles, auth, and dependency security.
SQL-i sisestamine kummitussisus API (CVE-2026-26980)
Ghost-versioonid 3.24.0–6.19.0 sisaldavad sisus API kriitilist SQL-i süstimise haavatavust. See võimaldab autentimata ründajatel täita suvalisi SQL-i käske, mis võib viia andmete väljafiltreerimiseni või volitamata muudatusteni.
Kogu uurimistöö
34 articles
Koodi kaugkäivitamine SPIP-is mallisiltide kaudu (CVE-2016-7998)
SPIP-i versioonid 3.1.2 ja varasemad sisaldavad malli koostaja haavatavust. Autentitud ründajad saavad serveris suvalise PHP-koodi käivitamiseks üles laadida HTML-faile koos loodud INCLUDE või INCLURE siltidega.
ZoneMinder Apache konfiguratsiooniteabe avalikustamine (CVE-2016-10140)
ZoneMinderi versioone 1.29 ja 1.30 mõjutab komplekteeritud Apache HTTP Serveri vale konfiguratsioon. See viga võimaldab kaug-autentimata ründajatel veebi juurkataloogi sirvida, mis võib viia tundliku teabe avaldamiseni ja autentimisest möödaviimiseni.
Next.js turbepäise vale konfiguratsioon failis next.config.js
Next.js rakendused, mis kasutavad päise haldamiseks faili next.config.js, võivad tekkida turvalünkadele, kui tee sobitamise mustrid on ebatäpsed. See uuring uurib, kuidas metamärgi ja regexi väärkonfiguratsioonid põhjustavad tundlikel marsruutidel turvapäiste puudumist ja kuidas konfiguratsiooni tugevdada.
Ebapiisav turvapäise konfiguratsioon
Veebirakendused ei suuda sageli rakendada olulisi turbepäiseid, jättes kasutajad avatud saidiülesele skriptimisele (XSS), klõpsamisele ja andmete sisestamisele. Järgides kehtestatud veebiturbejuhiseid ja kasutades auditeerimistööriistu, nagu MDN-i vaatluskeskus, saavad arendajad oma rakendusi märkimisväärselt tugevdada tavaliste brauseripõhiste rünnakute vastu.
OWASP kiire veebiarenduse 10 peamise riski leevendamine
Indie häkkerid ja väikesed meeskonnad seisavad sageli silmitsi ainulaadsete turvaprobleemidega kiire tarnimisel, eriti AI loodud koodi puhul. See uuring toob esile korduvad riskid kategooriatest CWE Top 25 ja OWASP, sealhulgas katkine juurdepääsukontroll ja ebaturvalised konfiguratsioonid, mis loovad aluse automatiseeritud turvakontrollidele.
Ebaturvalised HTTP päise konfiguratsioonid AI loodud rakendustes
AI abiliste loodud rakendustel puuduvad sageli olulised HTTP-turvapäised, mis ei vasta tänapäevastele turbestandarditele. See väljajätmine muudab veebirakendused tavaliste kliendipoolsete rünnakute suhtes haavatavaks. Kasutades selliseid võrdlusaluseid nagu Mozilla HTTP Observatory, saavad arendajad tuvastada puuduvad kaitsed, nagu CSP ja HSTS, et parandada oma rakenduse turvalisust.
Saidiülese skriptimise (XSS) haavatavuste tuvastamine ja vältimine
Saididevaheline skriptimine (XSS) toimub siis, kui rakendus sisaldab veebilehel ebausaldusväärseid andmeid ilma nõuetekohase valideerimise või kodeerimiseta. See võimaldab ründajatel käivitada ohvri brauseris pahatahtlikke skripte, mille tulemuseks on seansi kaaperdamine, volitamata toimingud ja tundlike andmete paljastamine.
LiteLLM-i puhverserveri SQL-i süstimine (CVE-2026-42208)
LiteLLM-i puhverserveri komponendi kriitiline SQL-i süstimise haavatavus (CVE-2026-42208) võimaldab ründajatel autentimisest mööda minna või pääseda juurde tundlikule andmebaasi teabele, kasutades ära võtme kinnitamise protsessi API.
Vibe'i kodeerimise turvariskid: AI loodud koodi auditeerimine
"Vibe kodeerimise" levik – rakenduste loomine peamiselt kiirete AI viipade kaudu – toob kaasa riske, nagu kõvakodeeritud mandaadid ja ebaturvalised koodimustrid. Kuna mudelid AI võivad soovitada turvaauke sisaldavatel koolitusandmetel põhinevat koodi, tuleb nende väljundit käsitleda ebausaldusväärsena ja andmete eksponeerimise vältimiseks automaatsete skannimistööriistade abil auditeerida.
JWT Turvalisus: tagamata žetoonide riskid ja nõude kinnitamise puudumine
JSON-i veebimärgid (JWT-d) pakuvad nõuete ülekandmise standardit, kuid turvalisus sõltub rangest valideerimisest. Allkirjade, aegumisaegade või sihtrühma kontrollimata jätmine võimaldab ründajatel autentimisest mööda minna või žetoone uuesti esitada.
Vercel juurutuste turvamine: kaitse ja päise parimad tavad
Selles uuringus uuritakse Vercel hostitud rakenduste turbekonfiguratsioone, keskendudes juurutamiskaitsele ja kohandatud HTTP-päistele. See selgitab, kuidas need funktsioonid kaitsevad eelvaatekeskkondi ja jõustavad brauseripoolseid turvapoliitikaid, et vältida volitamata juurdepääsu ja tavalisi veebirünnakuid.
Kriitiline OS-i käsusüst LibreNMS-is (CVE-2024-51092)
LibreNMS-i versioonid kuni 24.9.1 sisaldavad kriitilist OS-i käskude sisestamise haavatavust (CVE-2024-51092). Autentitud ründajad võivad hostsüsteemis täita suvalisi käske, mis võib viia seireinfrastruktuuri täieliku kahjustamiseni.
LiteLLM SQL-i sisestamine puhverserveris API võtme kinnitamine (CVE-2026-42208)
LiteLLM-i versioonid 1.81.16–1.83.6 sisaldavad puhverserveri API võtme kinnitusloogikas kriitilist SQL-i süstimise haavatavust. See viga võimaldab autentimata ründajatel autentimiskontrollidest mööda minna või pääseda juurde aluseks olevale andmebaasile. Probleem on lahendatud versioonis 1.83.7.
Firebase turvareeglid: volitamata andmetega kokkupuute vältimine
Firebase turvareeglid on Firestore'i ja pilvesalvestust kasutavate serverita rakenduste peamine kaitse. Kui need reeglid on liiga lubavad, näiteks lubavad tootmises globaalset lugemis- või kirjutamisjuurdepääsu, võivad ründajad tundlike andmete varastamiseks või kustutamiseks kavandatud rakendusloogikast mööda minna. See uuring uurib levinumaid väärkonfiguratsioone, „testrežiimi” vaikeseadete riske ja identiteedipõhist juurdepääsukontrolli rakendamist.
CSRF-kaitse: kaitsmine volitamata olekumuutuste eest
Saidiülene päringu võltsimine (CSRF) on veebirakendustele endiselt oluline oht. See uuring uurib, kuidas tänapäevased raamistikud, nagu Django, rakendavad kaitset ja kuidas brauseritaseme atribuudid, nagu SameSite, pakuvad põhjalikku kaitset volitamata päringute eest.
API turvalisuse kontroll-loend: 12 asja, mida enne otseülekande alustamist kontrollida
API-d on tänapäevaste veebirakenduste selgroog, kuid neil puudub sageli traditsiooniliste kasutajaliideste turvalisuse rangus. See uurimisartikkel kirjeldab olulist kontrollnimekirja API-de turvamiseks, keskendudes juurdepääsu kontrollile, kiiruse piiramisele ja ressurssidevahelisele jagamisele (CORS), et vältida andmetega seotud rikkumisi ja teenuse kuritarvitamist.
API Võtmeleke: riskid ja nende kõrvaldamine kaasaegsetes veebirakendustes
Kõvakodeeritud saladused kasutajaliidese koodis või hoidla ajaloos võimaldavad ründajatel esineda teenustena, pääseda juurde privaatandmetele ja kanda kulusid. See artikkel hõlmab salajase lekke riske ning vajalikke samme puhastamiseks ja ennetamiseks.
CORS Vale konfiguratsioon: liiga lubavate poliitikate oht
Päritoluülene ressursside jagamine (CORS) on brauseri mehhanism, mis on loodud sama päritolupoliitika (SOP) leevendamiseks. Ehkki tänapäevaste veebirakenduste jaoks on see vajalik, võib vale rakendamine (nt taotleja Origin päise kajamine või nulli lähtekoha valgesse nimekirja lisamine) lubada pahatahtlikel saitidel privaatseid kasutajaandmeid välja filtreerida.
MVP kaitsmine: andmelekkete vältimine AI loodud SaaS-i rakendustes
Kiiresti arendatud SaaS-i rakendused kannatavad sageli kriitiliste turbeprobleemide all. See uuring uurib, kuidas lekkinud saladused ja katkised juurdepääsukontrollid, nagu puuduv reataseme turvalisus (RLS), loovad tänapäevastes veebivirnades tugevaid haavatavusi.