// nghiên cứu lỗ hổng
Nghiên cứu lỗ hổng cho website và ứng dụng xây dựng bằng AI.
Ghi chú có nguồn về các lỗ hổng quan trọng với ứng dụng web do AI tạo, ngăn xếp BaaS, gói frontend, xác thực và bảo mật phụ thuộc.
Chèn SQL vào nội dung ma API (CVE-2026-26980)
Các phiên bản ghost 3.24.0 đến 6.19.0 chứa lỗ hổng chèn SQL nghiêm trọng trong Nội dung API. Điều này cho phép những kẻ tấn công không được xác thực thực thi các lệnh SQL tùy ý, có khả năng dẫn đến việc đánh cắp dữ liệu hoặc sửa đổi trái phép.
Tất cả nghiên cứu
34 bài viết
Thực thi mã từ xa trong SPIP thông qua Thẻ mẫu (CVE-2016-7998)
Phiên bản SPIP 3.1.2 trở về trước chứa lỗ hổng trong trình soạn thảo mẫu. Những kẻ tấn công đã được xác thực có thể tải lên các tệp HTML có gắn thẻ INCLUDE hoặc INCLURE được tạo thủ công để thực thi mã PHP tùy ý trên máy chủ.
Tiết lộ thông tin cấu hình ZoneMinder Apache (CVE-2016-10140)
Phiên bản ZoneMinder 1.29 và 1.30 bị ảnh hưởng do cấu hình sai Máy chủ HTTP Apache đi kèm. Lỗ hổng này cho phép kẻ tấn công từ xa, không được xác thực duyệt thư mục gốc của web, có khả năng dẫn đến việc tiết lộ thông tin nhạy cảm và bỏ qua xác thực.
Cấu hình sai tiêu đề bảo mật Next.js trong next.config.js
Các ứng dụng Next.js sử dụng next.config.js để quản lý tiêu đề dễ bị ảnh hưởng bởi các lỗ hổng bảo mật nếu các mẫu khớp đường dẫn không chính xác. Nghiên cứu này khám phá cách cấu hình sai ký tự đại diện và biểu thức chính quy dẫn đến thiếu tiêu đề bảo mật trên các tuyến nhạy cảm và cách tăng cường cấu hình.
Cấu hình tiêu đề bảo mật không đầy đủ
Các ứng dụng web thường không triển khai được các tiêu đề bảo mật thiết yếu, khiến người dùng có nguy cơ gặp phải kịch bản chéo trang (XSS), nhấp chuột và tiêm dữ liệu. Bằng cách tuân theo các nguyên tắc bảo mật web đã được thiết lập và sử dụng các công cụ kiểm tra như Đài quan sát MDN, các nhà phát triển có thể tăng cường đáng kể ứng dụng của họ trước các cuộc tấn công dựa trên trình duyệt phổ biến.
Giảm thiểu 10 rủi ro hàng đầu của OWASP trong phát triển web nhanh
Các tin tặc độc lập và các nhóm nhỏ thường phải đối mặt với những thách thức bảo mật đặc biệt khi vận chuyển nhanh, đặc biệt là với mã do AI tạo. Nghiên cứu này nêu bật các rủi ro định kỳ từ các danh mục CWE Top 25 và OWASP, bao gồm kiểm soát truy cập bị hỏng và cấu hình không an toàn, tạo nền tảng cho kiểm tra bảo mật tự động.
Cấu hình tiêu đề HTTP không an toàn trong các ứng dụng do AI tạo
Các ứng dụng do trợ lý AI tạo ra thường thiếu các tiêu đề bảo mật HTTP thiết yếu, không đáp ứng các tiêu chuẩn bảo mật hiện đại. Sự thiếu sót này khiến các ứng dụng web dễ bị tấn công từ phía máy khách. Bằng cách sử dụng các điểm chuẩn như Mozilla HTTP Observatory, các nhà phát triển có thể xác định các biện pháp bảo vệ còn thiếu như CSP và HSTS để cải thiện tình trạng bảo mật cho ứng dụng của họ.
Phát hiện và ngăn chặn các lỗ hổng Cross-Site Scripting (XSS)
Tập lệnh chéo trang (XSS) xảy ra khi một ứng dụng bao gồm dữ liệu không đáng tin cậy trong một trang web mà không có xác thực hoặc mã hóa thích hợp. Điều này cho phép kẻ tấn công thực thi các tập lệnh độc hại trong trình duyệt của nạn nhân, dẫn đến chiếm quyền điều khiển phiên, hành động trái phép và làm lộ dữ liệu nhạy cảm.
LiteLLM Proxy SQL tiêm (CVE-2026-42208)
Lỗ hổng chèn SQL nghiêm trọng (CVE-2026-42208) trong thành phần proxy của LiteLLM cho phép kẻ tấn công bỏ qua xác thực hoặc truy cập thông tin cơ sở dữ liệu nhạy cảm bằng cách khai thác quy trình xác minh khóa API.
Rủi ro bảo mật của mã hóa Vibe: Kiểm tra mã do AI tạo
Sự nổi lên của 'mã hóa rung cảm'—xây dựng các ứng dụng chủ yếu thông qua lời nhắc AI nhanh chóng—gây ra các rủi ro như thông tin xác thực được mã hóa cứng và các mẫu mã không an toàn. Vì các mô hình AI có thể đề xuất mã dựa trên dữ liệu đào tạo có chứa lỗ hổng bảo mật nên đầu ra của chúng phải được coi là không đáng tin cậy và được kiểm tra bằng các công cụ quét tự động để ngăn chặn việc lộ dữ liệu.
Bảo mật JWT: Rủi ro về mã thông báo không bảo đảm và thiếu xác thực yêu cầu
Mã thông báo Web JSON (JWT) cung cấp tiêu chuẩn để chuyển xác nhận quyền sở hữu, nhưng tính bảo mật dựa vào xác thực nghiêm ngặt. Việc không xác minh chữ ký, thời gian hết hạn hoặc đối tượng dự định sẽ cho phép kẻ tấn công bỏ qua xác thực hoặc phát lại mã thông báo.
Đảm bảo triển khai Vercel: Các phương pháp hay nhất về bảo vệ và tiêu đề
Nghiên cứu này khám phá các cấu hình bảo mật cho các ứng dụng được lưu trữ trên máy chủ Vercel, tập trung vào Bảo vệ triển khai và các tiêu đề HTTP tùy chỉnh. Nó giải thích cách các tính năng này bảo vệ môi trường xem trước và thực thi các chính sách bảo mật phía trình duyệt để ngăn chặn truy cập trái phép và các cuộc tấn công web phổ biến.
Chèn lệnh hệ điều hành quan trọng vào LibreNMS (CVE-2024-51092)
Các phiên bản LibreNMS lên tới 24.9.1 chứa lỗ hổng chèn lệnh hệ điều hành nghiêm trọng (CVE-2024-51092). Những kẻ tấn công đã được xác thực có thể thực thi các lệnh tùy ý trên hệ thống máy chủ, có khả năng dẫn đến sự xâm phạm toàn bộ cơ sở hạ tầng giám sát.
LiteLLM SQL SQL trong Proxy Xác minh khóa API (CVE-2026-42208)
LiteLLM phiên bản 1.81.16 đến 1.83.6 chứa lỗ hổng chèn SQL nghiêm trọng trong logic xác minh khóa Proxy API. Lỗ hổng này cho phép kẻ tấn công không được xác thực bỏ qua các biện pháp kiểm soát xác thực hoặc truy cập vào cơ sở dữ liệu cơ bản. Sự cố được giải quyết trong phiên bản 1.83.7.
Quy tắc bảo mật Firebase: Ngăn chặn việc tiết lộ dữ liệu trái phép
Quy tắc bảo mật Firebase là biện pháp bảo vệ chính cho các ứng dụng không có máy chủ sử dụng Firestore và Cloud Storage. Khi các quy tắc này quá dễ dãi, chẳng hạn như cho phép truy cập đọc hoặc ghi toàn cầu trong quá trình sản xuất, kẻ tấn công có thể bỏ qua logic ứng dụng dự định để đánh cắp hoặc xóa dữ liệu nhạy cảm. Nghiên cứu này khám phá các cấu hình sai phổ biến, rủi ro của các giá trị mặc định ở 'chế độ thử nghiệm' và cách triển khai kiểm soát truy cập dựa trên danh tính.
Bảo vệ CSRF: Bảo vệ chống lại những thay đổi trạng thái trái phép
Giả mạo yêu cầu chéo trang web (CSRF) vẫn là mối đe dọa đáng kể đối với các ứng dụng web. Nghiên cứu này khám phá cách các khung hiện đại như Django triển khai tính năng bảo vệ và cách các thuộc tính cấp trình duyệt như SameSite cung cấp khả năng bảo vệ chuyên sâu trước các yêu cầu trái phép.
Danh sách kiểm tra bảo mật API: 12 điều cần kiểm tra trước khi đi vào hoạt động
API là xương sống của các ứng dụng web hiện đại nhưng thường thiếu tính nghiêm ngặt về bảo mật của giao diện người dùng truyền thống. Bài viết nghiên cứu này phác thảo một danh sách kiểm tra cần thiết để bảo mật API, tập trung vào kiểm soát quyền truy cập, giới hạn tốc độ và chia sẻ tài nguyên nhiều nguồn gốc (CORS) để ngăn chặn vi phạm dữ liệu và lạm dụng dịch vụ.
Rò rỉ khóa API: Rủi ro và cách khắc phục trong các ứng dụng web hiện đại
Các bí mật được mã hóa cứng trong mã giao diện người dùng hoặc lịch sử kho lưu trữ cho phép kẻ tấn công mạo danh dịch vụ, truy cập dữ liệu riêng tư và phải chịu chi phí. Bài viết này đề cập đến các rủi ro rò rỉ bí mật và các bước cần thiết để dọn dẹp và phòng ngừa.
Cấu hình sai CORS: Rủi ro của các chính sách quá dễ dãi
Chia sẻ tài nguyên nhiều nguồn gốc (CORS) là một cơ chế trình duyệt được thiết kế để nới lỏng Chính sách cùng nguồn gốc (SOP). Mặc dù cần thiết đối với các ứng dụng web hiện đại, nhưng việc triển khai không đúng—chẳng hạn như lặp lại tiêu đề Nguồn gốc của người yêu cầu hoặc đưa nguồn gốc 'null' vào danh sách trắng—có thể cho phép các trang web độc hại lấy cắp dữ liệu riêng tư của người dùng.
Bảo mật MVP: Ngăn chặn rò rỉ dữ liệu trong các ứng dụng SaaS do AI tạo
Các ứng dụng SaaS được phát triển nhanh chóng thường gặp phải vấn đề giám sát bảo mật nghiêm trọng. Nghiên cứu này khám phá cách các bí mật bị rò rỉ và các biện pháp kiểm soát truy cập bị hỏng, chẳng hạn như thiếu Bảo mật cấp hàng (RLS), tạo ra các lỗ hổng có tác động lớn trong các ngăn xếp web hiện đại.