#sqlинъекция — Public Fediverse posts

Пишем свой SQL query builder на Python: DSL, кеширование в Redis и защита от инъекций

Объектный построитель SQL-запросов без ORM и моделей. Позволяет писать сложные SQL-запросы в виде цепочек Python-методов (table[‘person’].filter(…).join(…).get()) и получать результат в виде списка словарей. Под капотом — параметризованные запросы для защиты от инъекций, продуманная система кеширования с инвалидацией по таблицам (in-memory и Redis), поддержка синхронного и асинхронного кода из коробки. Для тех случаев, когда ORM избыточна, а сырой SQL небезопасен.

https://habr.com/ru/articles/1029968/

#python #sql #orm #dsl #caching #asyncio #sqlинъекция #query_cache #django #redis

6 языков из 6 по ГОСТ Р 71207-2024: как я перестал гадать по двадцати строкам вокруг вызова

Я довольно долго жил с привычной инженерной отговоркой: ну да, поиск по шаблонам шумит, зато работает быстро. Где-то подсветит лишнее, где-то что-то пропустит, но в целом жить можно. Так обычно и живут, пока не появляется внешний корпус, который не интересуют наши внутренние оправдания. У меня таким холодным душем стал свежий прогон sa-tests-db по ГОСТ Р 71207-2024 на текущем HEAD CodeGraph. Это уже не история в духе «нам кажется, стало лучше». Тут либо проходишь критерий, либо нет. Причём не по красивой суммарной цифре, а по каждому типу ошибки отдельно. И вот здесь самое интересное: что именно пришлось добавить в анализатор, чтобы он перестал смотреть на код как на набор соседних строк и начал видеть реальные пути данных.

https://habr.com/ru/articles/1014046/

#анализ_потоков_данных #статический_анализ #уязвимости #SQLинъекция #граф_свойств_кода #поток_данных

Кому на Рунете жить хорошо: ТОП/АНТИ-ТОП уязвимостей ноября

Всякий в Рунете ищет себе жизни хорошей, да только одни сервисы живут вольготно и горя не знают, а другие попадаются в сети хитрые, уязвимостями прозванные. Так и эксперты СайберОК весь ноябрь бродили по цифровым тропинкам и всё пытались понять: кому в Рунете жить хорошо, а кому достаётся участь тревожная. Прошлись по инстансам, сверили телеметрию, посмотрели, где есть PoC’ы, а где только шум, и составили ТОП / АНТИТОП уязвимостей ноября.

https://habr.com/ru/articles/974490/

#уязвимость #cybersecurity #CVE #Squid #React_Server #SQLинъекция #RCE #удалённое_выполнение_кода #DevOps #системное_администрирование

LayerSlider WordPress CVE-2024-2879

WordPress - самый популярный CMS для создания сайтов. Поэтому появление уязвимостей в различных плагинах затрагивает множество пользователей по всему миру. Усугубляет общую картину и тот факт, что во многих плагинах отсутствует автоматическое обновление версий. Не исключением стал и плагин LayerSlider в котором была найдена уязвимость типа SQL-injection, что получила идентификатор CVE-2024-2879 и балл CVSS равный 9,8 (критический). Давайте вместе с вами более детально рассмотрим данную уязвимость в нашей статье и покажем ее эксплуатацию.

https://habr.com/ru/articles/805839/

#CVE20242879 #wordpress #wordpress_plugins #wordpress_hacks #LayerSlider #php #sql #sqlинъекция #sqlinjection #уязвимость