// vulnerability research
Vulnerability research for AI-built websites and apps.
Source-grounded notes on vulnerabilities that matter to AI-generated web apps, BaaS stacks, frontend bundles, auth, and dependency security.
SQL ინექცია Ghost კონტენტში API (CVE-2026-26980)
Ghost ვერსიები 3.24.0-დან 6.19.0-მდე შეიცავს SQL ინექციის კრიტიკულ დაუცველობას Content API-ში. ეს საშუალებას აძლევს არაავთენტიფიცირებულ თავდამსხმელებს შეასრულონ თვითნებური SQL ბრძანებები, რაც პოტენციურად გამოიწვევს მონაცემთა ექსფილტრაციას ან არაავტორიზებულ მოდიფიკაციას.
ყველა research
34 articles
კოდის დისტანციური შესრულება SPIP-ში შაბლონის ტეგების მეშვეობით (CVE-2016-7998)
SPIP ვერსიები 3.1.2 და უფრო ადრე შეიცავს დაუცველობას შაბლონის კომპოზიტორში. ავთენტიფიცირებულ თავდამსხმელებს შეუძლიათ ატვირთონ HTML ფაილები შემუშავებული INCLUDE ან INCLURE ტეგებით სერვერზე თვითნებური PHP კოდის შესასრულებლად.
ZoneMinder Apache-ის კონფიგურაციის ინფორმაციის გამჟღავნება (CVE-2016-10140)
ZoneMinder 1.29 და 1.30 ვერსიებზე გავლენას ახდენს შეფუთული Apache HTTP სერვერის არასწორი კონფიგურაცია. ეს ხარვეზი საშუალებას აძლევს დისტანციურ, არაავთენტიფიცირებულ თავდამსხმელებს დაათვალიერონ ვებ ძირეული დირექტორია, რაც პოტენციურად გამოიწვევს მგრძნობიარე ინფორმაციის გამჟღავნებას და ავტორიზაციის გვერდის ავლით.
Next.js უსაფრთხოების სათაურის არასწორი კონფიგურაცია next.config.js-ში
Next.js აპლიკაციები, რომლებიც იყენებენ next.config.js-ს სათაურის მართვისთვის, ექვემდებარება უსაფრთხოების ხარვეზებს, თუ ბილიკების შესატყვისი შაბლონები არაზუსტია. ეს კვლევა იკვლევს, თუ როგორ იწვევს wildcard-ის და regex-ის არასწორ კონფიგურაციას მგრძნობიარე მარშრუტებზე უსაფრთხოების სათაურების ნაკლებობა და როგორ გაამკაცროს კონფიგურაცია.
უსაფრთხოების სათაურის არაადეკვატური კონფიგურაცია
ვებ აპლიკაციები ხშირად ვერ ახორციელებენ უსაფრთხოების აუცილებელ სათაურებს, რის გამოც მომხმარებლები ექვემდებარებიან ჯვარედინი სკრიპტირებას (XSS), დაწკაპუნებას და მონაცემთა ინექციას. ვებ-უსაფრთხოების დადგენილი სახელმძღვანელო მითითებების დაცვით და აუდიტის ინსტრუმენტების გამოყენებით, როგორიცაა MDN ობსერვატორია, დეველოპერებს შეუძლიათ მნიშვნელოვნად გააძლიერონ თავიანთი აპლიკაციები ბრაუზერზე დაფუძნებული საერთო შეტევების წინააღმდეგ.
OWASP ტოპ 10 რისკის შერბილება სწრაფი ვებ განვითარებისას
ინდი ჰაკერები და მცირე გუნდები ხშირად აწყდებიან უსაფრთხოების უნიკალურ გამოწვევებს სწრაფი მიწოდებისას, განსაკუთრებით AI-ის მიერ გენერირებული კოდით. ეს კვლევა ხაზს უსვამს CWE ტოპ 25 და OWASP კატეგორიების განმეორებით რისკებს, მათ შორის გატეხილი წვდომის კონტროლისა და არასაიმედო კონფიგურაციების ჩათვლით, რაც ქმნის საფუძველს უსაფრთხოების ავტომატური შემოწმებისთვის.
არასაიმედო HTTP ჰედერის კონფიგურაციები AI გენერირებულ აპლიკაციებში
AI ასისტენტების მიერ გენერირებულ აპლიკაციებს ხშირად არ გააჩნიათ აუცილებელი HTTP უსაფრთხოების სათაურები, რომლებიც ვერ აკმაყოფილებენ უსაფრთხოების თანამედროვე სტანდარტებს. ეს გამოტოვება ტოვებს ვებ აპლიკაციებს დაუცველს საერთო კლიენტის მხრიდან თავდასხმების მიმართ. Mozilla HTTP ობსერვატორიის მსგავსი საორიენტაციო ნიშნების გამოყენებით, დეველოპერებს შეუძლიათ ამოიცნონ დაკარგული დაცვა, როგორიცაა CSP და HSTS, რათა გააუმჯობესონ თავიანთი აპლიკაციის უსაფრთხოების პოზა.
საიტის სკრიპტის (XSS) დაუცველობის აღმოჩენა და პრევენცია
ჯვარედინი სკრიპტირება (XSS) ხდება მაშინ, როდესაც აპლიკაცია მოიცავს არასანდო მონაცემებს ვებ გვერდზე სათანადო ვალიდაციის ან კოდირების გარეშე. ეს საშუალებას აძლევს თავდამსხმელებს შეასრულონ მავნე სკრიპტები მსხვერპლის ბრაუზერში, რაც იწვევს სესიის გატაცებას, არაავტორიზებულ ქმედებებს და სენსიტიური მონაცემების გამოვლენას.
LiteLLM პროქსი SQL ინექცია (CVE-2026-42208)
SQL ინექციის კრიტიკული დაუცველობა (CVE-2026-42208) LiteLLM-ის პროქსი კომპონენტში თავდამსხმელებს საშუალებას აძლევს გვერდის ავლით აუთენტიფიკაცია ან წვდომა მიიღონ მონაცემთა ბაზის მგრძნობიარე ინფორმაციაზე API გასაღების გადამოწმების პროცესის გამოყენებით.
Vibe კოდირების უსაფრთხოების რისკები: აუდიტი AI გენერირებული კოდი
"vibe კოდირების" ზრდა - აპლიკაციების შექმნა, ძირითადად, სწრაფი AI მოთხოვნის საშუალებით - იწვევს რისკებს, როგორიცაა მყარი კოდირებული სერთიფიკატები და დაუცველი კოდის შაბლონები. იმის გამო, რომ AI მოდელებმა შეიძლება შემოგვთავაზონ კოდი, რომელიც დაფუძნებულია მოწყვლადობის შემცველ სასწავლო მონაცემებზე, მათი გამომავალი უნდა განიხილებოდეს, როგორც არასანდო და აუდიტირებული იყოს ავტომატური სკანირების ხელსაწყოების გამოყენებით, რათა თავიდან იქნას აცილებული მონაცემების ექსპოზიცია.
JWT უსაფრთხოება: დაუცველი ტოკენების რისკები და გამოტოვებული პრეტენზიის ვალიდაცია
JSON Web Tokens (JWT) უზრუნველყოფს პრეტენზიების გადაცემის სტანდარტს, მაგრამ უსაფრთხოება ეყრდნობა მკაცრ ვალიდაციას. ხელმოწერების, ვადის გასვლის დროის ან განზრახ აუდიტორიის ვერ გადამოწმება თავდამსხმელებს საშუალებას აძლევს გვერდის ავლით ავთენტიფიკაცია ან ხელახლა დაკვრა ტოკენები.
Vercel განლაგების დაცვა: დაცვისა და სათაურის საუკეთესო პრაქტიკა
ეს კვლევა იკვლევს უსაფრთხოების კონფიგურაციებს Vercel-ში განთავსებული აპლიკაციებისთვის, ფოკუსირებულია განლაგების დაცვაზე და მორგებულ HTTP სათაურებზე. იგი განმარტავს, თუ როგორ იცავს ეს ფუნქციები წინასწარი გადახედვის გარემოს და ახორციელებს ბრაუზერის მხარეს უსაფრთხოების პოლიტიკას, რათა თავიდან აიცილოს არაავტორიზებული წვდომა და საერთო ვებ შეტევები.
კრიტიკული OS ბრძანების ინექცია LibreNMS-ში (CVE-2024-51092)
LibreNMS ვერსიები 24.9.1-მდე შეიცავს OS-ის კრიტიკულ ბრძანების ინექციის დაუცველობას (CVE-2024-51092). ავთენტიფიცირებულ თავდამსხმელებს შეუძლიათ შეასრულონ თვითნებური ბრძანებები მასპინძელ სისტემაზე, რაც პოტენციურად გამოიწვევს მონიტორინგის ინფრასტრუქტურის სრულ კომპრომისს.
LiteLLM SQL ინექცია პროქსიში API გასაღების დადასტურება (CVE-2026-42208)
LiteLLM ვერსიები 1.81.16-დან 1.83.6-მდე შეიცავს SQL ინექციის კრიტიკულ დაუცველობას Proxy API გასაღების გადამოწმების ლოგიკაში. ეს ხარვეზი საშუალებას აძლევს არაავთენტიფიცირებულ თავდამსხმელებს გვერდის ავლით აუთენტიფიკაციის კონტროლი ან წვდომა ძირითადი მონაცემთა ბაზაში. პრობლემა მოგვარებულია 1.83.7 ვერსიაში.
Firebase უსაფრთხოების წესები: მონაცემთა არასანქცირებული ექსპოზიციის პრევენცია
Firebase უსაფრთხოების წესები არის ძირითადი დაცვა სერვერის გარეშე აპლიკაციებისთვის, რომლებიც იყენებენ Firestore და Cloud Storage. როდესაც ეს წესები ზედმეტად ნებადართულია, მაგალითად, წარმოებაში გლობალური წაკითხვისა და ჩაწერის წვდომის დაშვება, თავდამსხმელებს შეუძლიათ გვერდი აუარონ აპლიკაციის ლოგიკას, რათა მოიპარონ ან წაშალონ მგრძნობიარე მონაცემები. ეს კვლევა იკვლევს გავრცელებულ არასწორ კონფიგურაციას, „ტესტის რეჟიმის“ ნაგულისხმევი რისკებს და როგორ განხორციელდეს იდენტობაზე დაფუძნებული წვდომის კონტროლი.
CSRF დაცვა: დაცვა არაავტორიზებული სახელმწიფო ცვლილებებისგან
Cross-Site Request Forgery (CSRF) რჩება მნიშვნელოვან საფრთხედ ვებ აპლიკაციებისთვის. ეს კვლევა იკვლევს, თუ როგორ ახორციელებს Django-ს მსგავსი თანამედროვე ფრეიმორები და როგორ უზრუნველყოფს ბრაუზერის დონის ატრიბუტები, როგორიცაა SameSite, სიღრმისეულ დაცვას არაავტორიზებული მოთხოვნებისგან.
API უსაფრთხოების საკონტროლო სია: 12 რამ, რაც უნდა შეამოწმოთ პირდაპირ ეთერში გასვლამდე
API არის თანამედროვე ვებ აპლიკაციების ხერხემალი, მაგრამ ხშირად არ გააჩნიათ ტრადიციული ფრონტენტების უსაფრთხოების სიმკაცრე. ეს კვლევითი სტატია ასახავს აუცილებელ საკონტროლო სიას API-ების უზრუნველსაყოფად, ფოკუსირებულია წვდომის კონტროლზე, სიჩქარის შეზღუდვაზე და ჯვარედინი წარმოშობის რესურსების გაზიარებაზე (CORS), რათა თავიდან იქნას აცილებული მონაცემთა დარღვევისა და სერვისების ბოროტად გამოყენება.
API გასაღების გაჟონვა: რისკები და გამოსწორება თანამედროვე ვებ აპებში
ხისტი კოდირებული საიდუმლოებები წინა კოდში ან საცავის ისტორიაში თავდამსხმელებს საშუალებას აძლევს მიიღონ სერვისები, წვდომა მიიღონ პირად მონაცემებზე და გაიღონ ხარჯები. ეს სტატია მოიცავს საიდუმლო გაჟონვის რისკებს და გაწმენდისა და პროფილაქტიკისთვის საჭირო ნაბიჯებს.
CORS არასწორი კონფიგურაცია: ზედმეტად ნებადართული პოლიტიკის რისკები
Cross-Origin Resource Sharing (CORS) არის ბრაუზერის მექანიზმი, რომელიც შექმნილია იმავე წარმოშობის პოლიტიკის (SOP) დასამშვიდებლად. მიუხედავად იმისა, რომ აუცილებელია თანამედროვე ვებ აპებისთვის, არასათანადო განხორციელებამ, როგორიცაა მომთხოვნის საწყისი სათაურის ექო ან „ნულის“ წარმოშობის თეთრ სიაში შეყვანა, შეიძლება მავნე საიტებს დაუშვას მომხმარებლის პირადი მონაცემების ექსფილტრაცია.
MVP-ის დაცვა: მონაცემთა გაჟონვის პრევენცია AI-ის მიერ გენერირებული SaaS აპებში
სწრაფად განვითარებული SaaS აპლიკაციები ხშირად განიცდიან უსაფრთხოების კრიტიკულ ზედამხედველობას. ეს კვლევა იკვლევს, თუ როგორ ქმნის გაჟღენთილი საიდუმლოებები და დარღვეული წვდომის კონტროლი, როგორიცაა მწკრივის დონის უსაფრთხოების (RLS) გამოტოვებული, მაღალი ზემოქმედების მოწყვლადობას თანამედროვე ვებ სტეკებში.