Fsecurity | HH

😱 Уязвимости в установщике Битрикс Для установки Битрикса есть скрипт bitrixsetup.php, который разработчики рекомендуют удалять после установки, но, как выяснилось, не все это делают. При обнаружении этого скрипта основной вектор атаки, который приходит в голову, это переустановить CMS и загрузить веб-шелл через административную панель. Иногда админы просто ограничивают права на запись в директорию и считают, что этого будет достаточно, однако данный скрипт сам по себе оказался уязвим к XSS и LFR: XSS:

https://target.com/bitrixsetup.php?action=UNPACK&filename=<img src='' onerror=alert(document.domain)>

LFR:

https://target.com/bitrixsetup.php?action=UNPACK&filename=../../../../etc/passwd 

Более подробно читайте в статье на хабре. #web #bitrix #xss #lfr

Сегодня хотим поделиться с вами прикольным расширением Argo CD для Trivy Operator. Расширение позволяет прямо в интерфейсе Argo CD отображать vulnerability reports, созданные Trivy Operator в результате сканирования на уязвимости docker образов. Для того чтобы установить расширение к себе в Argo CD необходимо немного пропатчить Deployment argo-cd sever. А именно – добавить init-container с необходимым React Component.

Ролик про Parrot OS был удален -_- Ютуб ты **""*" я бы сказал! Этичный хакинг не запрещен, но мы удаляем контент по этичному хакингу!

🔗Ссылка: https://habr.com/ru/companies/gaz-is/articles/805073/

👆🏻Очень нравятся работы данного автора 👾

Мои работы за последние 2 недели Caster - Witchhammer Caster - Witchhammer VIP Caster - Graveyard Caster - Apostroph Caster - Defect Caster - Defect VIP Caster - Renegade

👆🏻Очень нравятся работы данного автора 👾

🔗Ссылка: https://xakep.ru/2024/04/09/pt-match-flaws/

Релиз VIP-версии моей статьи "Defect" о пивотинге с использованием TailScale. Создание виртуальной сети TS, маршрутизация и перемещение во внутреннюю инфраструктуру. В этой работе я использовал концепцию Living off the land. Caster - Defect VIP Genre: Offensive Label: exploit.org Release Date: 8 April 2024 https://blog.exploit.org/defectvip

Релиз моей статьи о применении SoftEther в пивотинге. В ней я снова использую концепцию Living off the Land. Caster - Renegade Genre: Offensive Label: exploit.org Release Date: 9 April 2024 https://blog.exploit.org/renegade

🔗Ссылка: https://www.anti-malware.ru/news/2024-04-09-111332/43118

И все таки

FakeRow::invalidateTopic()

не проверяет входные данные должным образом + использование

crl::guard()

утечка памяти, так что закономерно. рабочий сплоит 1/5 сработал, продолжу на выхах ковыряться.

D-Link NAS CVE-2024-3273 Exploit Tool 🔗Ссылка: https://github.com/Chocapikk/CVE-2024-3273

🔗Ссылка: https://habr.com/ru/articles/778454/

🔗Ссылка: https://www.securitylab.ru/news/547333.php

Хочу также посоветовать: 1 - Проверить себя на утечки! 💧 2 - Наш discord сервер! Где можно пообщаться 👾 3 - Мой Github 🦑 Наш второй канал [Ximera-Chan]

🔗Ссылка: https://notes.kraken-security.ru/kraken/secure-coding/server-side/xml-external-entity-injection-xxe

Хочу сказать всем огромное спасибо за поддержку ! 👾 Также хочу сообщить, что нас уже 1533 на Ютуб канале 🥳 Огромное спасибо! Всего вам наилучшего!