Форум информационной безопасности - Codeby.net
На проверке CVE-2026-45631: Dokploy уязвимость — захват PaaS-платформы через hardcoded secret и поддельный JWT
CVSS 10.0. Dokploy — self-hosted альтернатива Heroku — содержит fallback-секрет better-auth-secret-123456789 прямо в публичном репозитории. Неаутентифицированный атакующий подделывает JWT верификации email, получает сессию администратора и открывает встроенный SSH-терминал на хосте.CWE-798, версии 0.27.0–0.29.3. Better Auth ищет BETTER_AUTH_SECRET, не находит — подставляет захардкоженную строку. Ключ подписи публичен для каждой инсталляции без переопределённой переменной. Auto-sign-in даёт админ-сессию без пароля, T1190 плюс T1606.
Проверьте BETTER_AUTH_SECRET в .env — дефолт означает полную компрометацию хоста через панель.
Патч версии не спасает старые контейнеры — секрет остаётся дефолтным, пока переменная не переопределена вручную.На проверке ИИ 0-day уязвимость: разбор первого задокументированного случая и что менять в detection
GTIG задокументировала первый боевой ИИ-эксплойт: криминальная группа скормила LLM код open-source админки и получила обход 2FA через hardcoded trust assumption — рабочий Python-инструмент для массовой кампании, а не PoC.Модель нашла логический дефект, который фаззеры и SAST системно пропускают — код не падает, он работает ровно так, как написан, просто неправильно. Маркеры AI-авторства: галлюцинированный CVSS-скор, обучающие docstring'ы, шаблонный Python из training data.
По Mandiant M-Trends 2025 эксплойты — 38% первичного доступа. Claude нашёл баг в GhostScript через git-историю там, где фаззеры молотили миллионы CPU-часов впустую.
Следующий AI-эксплойт docstring'ов не оставит — подчистить артефакты оператору на пару часов работы после того же отчёта GTIG.На проверке Защита CI/CD инфраструктуры: векторы атак, detection и харденинг пайплайнов
Ноль CVE, ноль обхода EDR — Shai-Hulud угнал GitHub PAT через один YAML в workflow, прогнал TruffleHog по репозиторию и заразил сотни npm-пакетов за одну волну.Цепочка одинакова для GitHub Actions, GitLab CI, Azure DevOps: украденные creds → модификация `.github/workflows/` → сбор секретов через curl или python requests → lateral movement в облако. Второй вектор — `pull_request_target` без SHA-пиннинга actions пускает код из форка прямо к секретам базового репо.
Детект по OWASP CICD-SEC-6: новые `env:` и `secrets.*` в diff, ранее не использовавших их jobs, свежие сетевые вызовы в build-шагах.
Секретов боятся серверов — а YAML-файл в репозитории с write-доступом опаснее открытого порта.На проверке Аудит прошивки роутера: от экстракции firmware до обнаружения бэкдоров
Дамп SPI-флеш через CH341A — и за 20 минут binwalk находит три пароля в plaintext, два дают telnet root shell без аутентификации. Роутер стоял на периметре с белым IP.Kill chain: fingerprinting через Nmap и Shodan, экстракция firmware с FTP вендора или UART, статика в binwalk и Ghidra, эмуляция в QEMU через FirmAE. Дальше — command injection в вебке, T1601 Modify System Image для persistence, pivot во внутреннюю сеть через ARP spoofing и DNS hijacking.
Realtek SDK тянет одну дыру в сотни моделей разных брендов — TP-Link, Netgear, D-Link, Tenda. Проверяй hardcoded credentials в конфигах, открытые debug-порты, версию против CVE до эмуляции — это дешевле, чем фаззинг вслепую.
Запрет TP-Link в США — про supply chain, а не бэкдор. Дыра одна, брендов — десятки.На проверке Легальность OSINT: что можно и что нельзя — разбор рисков и как обучаться разведке безопасно
OSINT-отчёт по контрагенту клиента: WHOIS, ЕГРЮЛ, открытый профиль ВКонтакте — ни одного взлома. Юрист прочитал и сказал: «половина отчёта — обработка ПДн без согласия, нас оштрафуют по ФЗ-152».Пассивная разведка — T1593, T1589.002 — это поиск через поисковики и соцсети без взаимодействия с целью. Активная — сканирование портов, фейковые аккаунты — превращает Reconnaissance в риск по ст. 272 и 138 УК РФ, даже без единого эксплойта.
Агрегация публичных данных в досье с передачей клиенту делает вас оператором ПДн по ст. 6 ФЗ-152.
Публичность данных не означает разрешение на использование — сама фаза сбора данных о жертве может стать статьёй раньше эксплойта.Статья Утечка секретов в CI/CD: как API-ключи утекают через GitHub, GitLab и Jenkins
Ключ Jenkins-сервисного аккаунта запускает EC2 в ap-southeast-1, где нет ни одного вашего ресурса — виновник найден через час: env | sort в debug-шаге, забытый три недели назад.47 вызовов sts:GetCallerIdentity, GuardDuty-алерт, и вот уже T1078 в чистом виде. GitGuardian: 12,8 млн секретов на GitHub за год, Nord Stream от Synacktiv автоматизирует Poisoned Pipeline Execution через pull_request_target и ворует org-level секреты за минуты.
Jenkins build logs маскируют только withCredentials{} — printenv и TF_LOG=DEBUG сливают токены открытым текстом всем с Job/Read.
Утечка не в коде — в логах сборки. Приватный репозиторий страдает от hardcoded-секретов чаще публичного.Статья CVE-2026-21861 baserCMS: уязвимость OS Command Injection через функцию обновления ядра
baserCMS 5.2.3: параметр php из формы обновления ядра летит прямиком в exec() — без escapeshellarg(), без allowlist. CVE-2026-21861, CVSS 9.1, PoC уже в advisory.PluginsController::get_core_update() берёт $php из POST и конкатенирует в shell-команду дважды — как путь к бинарнику и как аргумент --php. CSRF-токен валиден, сессия легитимна — SecurityComponent CakePHP тут бессилен, это RCE на уровне серверного кода.
Ищите в WAF payload с `;`, `|`, `` ` ``, `$()` в теле POST на /baser-core/plugins/get_core_update. В SIEM — exec() спавнящий bash от www-data, KQL по child-процессам PHP-worker'а, allowlist параметра php на уровне nginx.
Атакующему не нужен root — обычный admin-аккаунт CMS уже даёт CVSS Scope:Changed до полного контроля хоста.Статья Burp AT: агентный ИИ в Burp Suite для пентеста — что реально работает в 2025
PortSwigger встроили в Burp Suite Pro агентный слой Burp AT — не плагин из BApp Store, а нативный движок со skills от PortSwigger Research и жёсткой permission-моделью.Агент формулирует гипотезу, дёргает Repeater и Scanner, валидирует находки через Explore Issue, строит PoC — закрывает T1595 и частично T1190 из MITRE ATT&CK. Задачи в Repeater не хранят историю чата — каждая самодостаточна и логируется как HTTP-артефакт в проекте.
Границы enforced tooling-слоем Burp, а не промптом модели — prompt injection (LLM01:2025) не обходит permission model. Explore Issue работает только как follow-up к находкам Scanner, снижая FP по Broken Access Control (A01:2021).
Агент не заменяет пентестера — он ускоряет рутину, но границы автономии задаёт Burp, а не сама модель.Статья Security Champions в компании: как выстроить сеть амбассадоров безопасности внутри бизнес-подразделений
Четыре AppSec-инженера на 47 продуктовых команд — с таким ratio программа задыхается: critical-находки Semgrep неделями висят в бэклоге, threat modeling случается раз в год перед аудитом.Без чемпионов AppSec работает реактивно — нашли баг, завели тикет, ждём фикса. Разница по OWASP SAMM: чемпион видит небезопасную десериализацию в PR раньше SAST, потому что сам писал этот код и понимает бизнес-логику продукта.
Один специалист тянет пять Security Champions вместо пяти команд напрямую — правило OWASP Playbook.
Программы закрывают не из-за провала, а потому что никто не зафиксировал baseline зрелости до старта.