#уязвимость — Public Fediverse posts

Дайджест новостей: PHP и его критические уязвимости, KYA в массы и QWEN-шпион ком-партии китая

Привет Хабр! Делюсь с вами интересными инфоповодами. Сегодняшнее направление моего ресёрча — Агентная экономика и её издержки.

https://habr.com/ru/articles/1098386/

#php #уязвимость #инфобез #ииагенты

Две критические RCE в PHP: что обновлять и как проверить за минуту

21 октября PHP выпустил внеплановые релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35: они закрывают две критические уязвимости (CVSS 4.0 — 9.2), допускающие выполнение кода без аутентификации. Разбираем, кого это касается, как проверить, какая версия PHP реально обслуживает веб, как обновиться (пакеты, Docker) и какие временные меры допустимы, если обновиться сразу нельзя.

https://habr.com/ru/articles/1097456/

#обновление #php #уязвимость #phpfpm #rce #docker #cve2026109618 #cve2026109619

PHP2Shell: две RCE в ядре PHP без авторизации. Кто уязвим и как проверить сервер за минуту

21 октября PHP выпустил экстренные версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Они закрывают две критические RCE без авторизации (CVSS 9.2), одна из которых срабатывает ещё до кода вашего приложения. Разбираем бюллетени, даём скрипт для проверки всех PHP на сервере и временные меры для тех, кто не может обновиться сегодня. Для PHP 7.x и 8.0/8.1 исправлений не будет.

https://habr.com/ru/articles/1097362/

#php #уязвимость #битрикс #phpfpm #rce #безопасность_сервера #cve2026109618 #cve2026109619 #php2shell #обновление_php

Блокнот — программа, которую Microsoft боялась трогать сорок лет

Если вы хоть раз работали в офисе, то наверняка видели это окно. В панели задач висит Блокнот без названия, а внутри лежат номер телефона без имени, гостевой пароль от вайфая, чей-то адрес доставки и абзац из письма, который вставили туда только затем, чтобы он потерял жирный шрифт и синий цвет. Сохранять это окно никто не собирается, закрывать тоже, и живет оно до ближайшей перезагрузки (вернее, жило, но к этому мы еще вернемся). Блокнот, наверное, самая массовая программа, про которую никто ни разу не сказал доброго слова. Им пользуются бухгалтерия и админы, школьники и разработчики, у которых давно стоят VS Code и Notepad++, но рука все равно жмет Win+R и набирает notepad, когда надо за десять секунд поправить строчку в hosts. Мне стало интересно, как эта невзрачная программа дотянула до 2026 года. Выяснилось, что Блокнот старше самой Windows, что однажды он стал героем теории заговора про Джорджа Буша, что сорок лет он помнил ровно одно последнее действие и что в феврале этого года в нем нашли уязвимость, через которую на компьютер можно было подсунуть чужой код.

https://habr.com/ru/articles/1089886/

#Блокнот #Notepad #Windows #история_Windows #Microsoft #Markdown #LOG #уязвимость #софт

Ваш сервер Zimbra под угрозой

Недавно наша команда PT ESC IR столкнулась с новой атакой ransomware-группировок на почтовые серверы Zimbra с использованием уязвимости CVE-2026-73570 и шифровальщика TargetZimbra. По информации из открытых источников аналогичные атаки массово фиксируются на серверах Zimbra с середины августа. Важно ! Если вы используете неактуальную версию ПО Zimbra и не обнаружили на своем почтовом сервере приведенных в статье индикаторов компрометации конкретной кампании шифровальщика TargetZimbra, то это не значит, что ваш сервер гарантированно не скомпрометирован. Уязвимость CVE-2026-73570 может использоваться другими злоумышленниками, например, для установки майнеров, а также APT-группировками, нацеленными на компрометацию инфраструктуры всей организации.

https://habr.com/ru/companies/pt/articles/1082654/

#zimbra #вредоносное_по #шифровальщик #уязвимость #ransomware #snmp #почтовый_сервер

Старайтесь не замечать эти дыры. Часть 2

В прошлой части статьи мы с удивлением прочитали, как каких-то сорок лет назад отношение к информационной безопасности даже близко не было таким, как сегодня. В этой части придет расплата и осознание за те годы. Сейчас мы посмотрим, как потихоньку рождались первые уже не исследовательские вирусы. Впрочем нет, сначала это все же были исследования.

https://habr.com/ru/companies/beget/articles/1067922/

#Коэн #вирус #червь #хакер #уязвимость #инфобез #ЭВМ #Bell #фрикер #взлом

Старайтесь не замечать эти дыры. Часть 1

Пусть не у всех продуктов и компаний, но технология латания дыр безопасности на сегодня неплохо отработана. Серьезные игроки рынка всегда поддерживают баунти для внешних «белых хакеров». Иными словами, если вы нашли дыру в каком-то приложении, у вас есть возможность сообщить о ней владельцам приложения напрямую. И есть ненулевая вероятность, что вам за такое еще и заплатят. Помимо этого, у многих компаний есть внутренние подразделения, отвечающие за информационную безопасность, которые сами неустанно латают дыры и проводят аудит текущих ресурсов. Но так было не всегда. Давайте посмотрим, как относились к латанию дыр еще каких-то 35-40 лет назад.

https://habr.com/ru/companies/beget/articles/1067920/

#Коэн #вирус #червь #хакер #уязвимость #инфобез #ЭВМ #Bell #фрикер #взлом

Анатомия VDD: Как я нашел RCE в форке Telegram, а Google Security не увидел «ничего вредоносного»

TL;DR Внутри альтернативного клиента ExteraGram работает внутренняя система динамического обновления компонентов. Через неё авторы могут в любой момент загрузить на ваш телефон код прямо из Telegram-канала, обойти окно установки (can_not_skip) и выполнить его в едином адресном пространстве приложения (с его UID и полными правами). В исследованной цепочке загрузки я не обнаружил проверки цифровой подписи. При компрометации канала или инфраструктуры обновлений это создаёт возможность массовой доставки вредоносного кода пользователям. Как всё началось Был обычный вечер, делать было откровенно нечего. Я сам сидел на ExteraGram, и вдруг стало интересно - а как оно вообще внутри устроено? (Спойлер: после того, что я там увидел, я его снес).

https://habr.com/ru/articles/1069358/

#telegram #exteragram #rce #reverse_engineering #реверсинжиниринг #уязвимость #android #obfuscation #cython #ollvm

Пользователь сменил пароль и потерял доступ. Что проворонил тестировщик?

Одноразовая ссылка сработала только один раз, старый пароль больше не подходил, а все проверки прошли. И всё же пользователь снова потерял доступ к аккаунту. Разбираемся, какой сценарий пропустил тестировщик и почему проверять отдельный токен недостаточно.

https://habr.com/ru/companies/otus/articles/1058180/

#осстановление_пароля #тестирование_безопасности #одноразовая_ссылка #токен_восстановления #QA #тестдизайн #управление_сессиями #уязвимость #OWASP #пользовательский_сценарий

Серверы Minecraft как ботнет для DDoS атак

Спустя много лет я решил поиграть в Minecraft на пиратских серверах. Никакого исследовательского умысла не было, просто хотел поиграть. Но профессиональная деформация взяла свое: я начал ковырять функционал плагинов сервера. То, что я обнаружил, заставило забыть про игру и открыть Interactsh Охуеть

https://habr.com/ru/articles/1053694/

#minecraft #minecraft_server #minecraft_сервер #minecraft_безопасный_сервер #пентест #информационная_безопасность #игры #уязвимость #ddos #ddosатака

[Перевод] Agentic SAMM: безопасная разработка, когда разработчик больше не только человек

Расширенная версия моего кейноута на ISC.AI 2026 в Пекине. Фреймворк и инструмент открыты — берите, ломайте и присылайте мне, что найдёте.

https://habr.com/ru/articles/1051650/

#SDLC #уязвимость #owasp #безопасная_разработка

Crashprobe: как я заделал критическую уязвимость в версии 0.4.1

Привет, Хабр! Недавно я опубликовал статью про свою библиотеку - crashprobe , которая перехватывает ошибки в синхронном коде Python и потоках, а затем генерирует о них красивый HTML или TXT отчёт. Статья получила хорошие результаты, а читатели помогли сделать библиотеку лучше и безопаснее. Так внимательный читатель @vldmrmlkv обратил внимание на критическую уязвимость в безопасности версии 0.4.0.

https://habr.com/ru/articles/1050268/

#python #crashprobe #xss #уязвимость #debug #бекенд #отладка

Забытый, но небесполезный: багхантинг во вкладке Source. Актуалочка для 2026 года

2026 год, роботы доставщики на улицах крупных городов, автоматические сканеры уязвимостей для QA, фреймворки разработки , которые позволяют написать код как для сайта по продаже авторских батонов и выпечки , так и портал для крупного медицинского бизнеса - все это в наличии и не вызывает удивления. Казалось бы чем нам как разработчикам или QA полезным будет пресловутый DevTools и вкладка Source... Но в этом и заключается парадокс, вкладка Source остается актуальной даже в наш просвещённый век, ведь при грамотном поиске и толики удачи, в ней можно найти как медь в виде служебных ручек, так и золото в виде секретов.

https://habr.com/ru/articles/1047440/

#тестирование #тестирование_вебприложений #qa_образование #qa_testing #qa #qa_strategy #qa_lead #webразработка #уязвимости_и_их_эксплуатация #уязвимость

Обращение к разработчикам Telegram: уязвимость тихой смены мобильного номера при краже аккаунта

До недавнего времени у меня была ложная уверенность, что покуда аккаунт Telegram привязан к реальному мобильному номеру и при этом у пользователя есть доверенное устройство, то удалённо украсть аккаунт, как минимум, чрезвычайно сложно, если вообще возможно. Максимум, кто-то может открыть ещё одну пользовательскую сессию и получить доступ к перепискам. Однако на деле оказалось, что букально в течении нескольких дней злоумышленник способен ещё и безвозвратно отвязать мобильный номер втихую, что ведёт к полной потере доступа настоящим пользователем, - вот уж то, чего действительно не ожидал от сервиса, который по своим ценностям нацелен на безопасность!.. Сразу замечу, что эту лазейку довольно легко исправить, но почему-то она до сих пор присутствует... Причём, судя по всему, служба поддержки не справляется с обращениями пользователей (даже с платной подпиской!), поэтому шанс вернуть аккаунт стремится к нулю. Именно по этой причине было решено опубликовать данное обращение, вдруг на него всё же обратят внимание разработчики Telegram и примут необходимые меры для усиления безопасности.

https://habr.com/ru/articles/1046425/

#telegram #уязвимость #смена_номера_телефона

Как я уронил ядро мобильной сети 4G одним пакетом: анатомия Zero‑click уязвимости в Open5GS

Привет, Хабр! Мир безопасности телекома для многих IT‑специалистов кажется закрытым клубом, спрятанным за проприетарными вендорами, дорогим оборудованием и тысячами страниц спецификаций 3GPP. Но порой, чтобы положить ядро мобильной сети целого региона не нужна квантовая физика, а достаточно базового понимания бинарных протоколов и одного вырезанного байтика. В этой статье я расскажу, как я исследовал уязвимости в популярном open‑source ядре мобильной связи Open5GS и почему слепая вера в стандарты ломает код. Мы напишем изящный эксплойт, жонглируя битами в кодировке ASN.1 APER

https://habr.com/ru/articles/1045320/

#4g #lte #open5gs #cve #exploit #asn1 #s1ap #уязвимость #телеком

В фокусе RVD: трендовые уязвимости мая

Хабр, привет! На связи команда инженер-аналитиков R-Vision. Мы проанализировали широкий спектр уязвимостей, выявленных в мае 2026 года , и включили в дайджест лишь те, что представляют наибольший практический интерес по уровню риска, подтверждённой эксплуатации и актуальности для специалистов по информационной безопасности.

https://habr.com/ru/companies/rvision/articles/1043248/

#уязвимость #управление_уязвимостями #анализ_уязвимостей #кибербезопасность #linux #windows #palo_alto_networks #ngnix

Мне прислали фишинг под MAX. Я разобрал ссылку и нашёл уязвимость в их API

«Мне прислали фишинг под MAX. Внутри оказался MITM в их API» «Не ты ли на фото?» — пришло поздно вечером, в обычной переписке, от знакомого, который пишет редко. К сообщению приложена короткая ссылка. Я понял, что у него увели аккаунт, и захотел разобраться, что внутри. Через пять дней я смотрел на инфраструктуру из 179 фишинговых доменов, четырёх хостингов, через которые оператор переезжал каждые сутки, и обнаружение, что фишинг-кит работает не как сборщик паролей, а как MITM-прокси к настоящему API мессенджера MAX. Жертва получает реальный SMS от реального MAX и не может распознать атаку. CVSS 8.8. VK молчит уже неделю.

https://habr.com/ru/articles/1030356/

#фишинг #MITM #MAX_мессенджер #VK #уязвимость #OSINT #расследование #vulnerability_disclosure #ClouDNS #abuse

CVE-2026-32202: утечка Net-NTLMv2 через Windows Shell при обработке LNK (zero-click)

Уязвимость в Windows Shell приводит к принудительной аутентификации на удалённый ресурс при разборе LNK/namespace-объектов. Система инициирует SMB-сеанс и отправляет Net-NTLMv2 хеш без действий пользователя. Эксплуатация подтверждена, исправление включено в апрельский пакет обновлений.

https://vk.cc/cXgpgc

#CVE-2026-32202 #Microsoft #WindowsShell #пароли #уязвимость

Уязвимости в мессенджере MAX

С момента запуска программы Bug Bounty в июле 2025 года в системе накопилось уже 454 отчёта, из которых признаны валидными 288. Это не просто «рабочий процесс», а показатель
https://enep-home.ru/2026/04/13/%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d0%b8-%d0%b2-%d0%bc%d0%b5%d1%81%d1%81%d0%b5%d0%bd%d0%b4%d0%b6%d0%b5%d1%80%d0%b5-max/

#BugBounty #IDOR #MAX #безопасность #мессенджер #уязвимость

Кратко о CVSS: как правильно оценивать критичность уязвимостей

Разбираем Common Vulnerability Scoring System – что скрывается за цифрой от 0 до 10, как читать базовые, временные и контекстные метрики, и где искать актуальную информацию об уязвимостях.

https://habr.com/ru/articles/1020310/

#cvss #уязвимость #уязвимости_и_их_эксплуатация #качество_кода #качество_продукта #инфраструктура #информационная_безопасность

Массовая слежка по Bluetooth

Радиосигнал Bluetooth принимается только на близком расстоянии. Однако он не такой безопасный, как принято считать. На самом деле многие Bluetooth-устройства делают человека уязвимым для слежки. Недавно открытые уязвимости позволяют злоумышленнику выполнить скрытное сопряжение, а затем отслеживать местоположение устройства через интернет, а также использовать его как удалённый микрофон для дистанционного прослушивания. Более того, даже обычное пассивное сканирование окружающей среды — сбор «цифровых крошек» на протяжении недель — раскрывает массу приватных деталей о соседях.

https://habr.com/ru/companies/globalsign/articles/1013398/

#Bluetooth #утечка_информации #Bluehood #уязвимость #WhisperPair #Google_Fast_Pair #Find_Hub #слежка #BLE

В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Источников оказалось немного: пара постов на Хабре про саму уязвимость и ответки пресс службы Макс. Вот сам пост с Хабра, где рассказана вся ситуация. Мне больше другое интересно стало. Во-первых, является ли критичной уязвимость, если доступ к ней и правда возможен при большом переборе ссылок? Да, это в любом случае уязвимость, но настолько ли критичная? Во-вторых: а что если эти ссылки и доступ по ним возможны только после самой их компрометации? То есть как в облаке: ты сначала ссылку публичную получил, и уже после доступ к файлу возможен перебором по ссылке без авторизации, потому что ты это вообще позволил, а по-умолчанию всё с твоими файлами нормально. Ибо из поста выше и всех перечисленных там ссылок не следует того, что эти ссылки изначально не были вскрыты или переданы. Меня учили в вузе, что если мы сталкиваемся с комплексной задачей, то и её оценку надо проводить комплексно. А ещё, что если это не семинар, то придумывать велосипед необязательно и можно достать табличку объёмов красных шариков, которую за тебя уже продумали и составили эксперты в красных шариках. В нашем случае это ФСТЭК (Разрабатывает стандарты и требования по защите персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) в РФ) и CVSS (Открытый стандарт, используемый для расчета количественных оценок уязвимости в безопасности компьютерной системы, обычно с целью понять приоритет её исправления). Так мы сможем описать и дать оценку конкретному сценарию эксплуатации уязвимости. Но помня мои вопросы выше, ради объективности и полного раскрытия темы мы рассмотрим 2 сценария:

https://habr.com/ru/articles/1008200/

#max #макс #уязвимость #безопасность #национальный_мессенджер

Дыра безопасности в Ze-Post: как подменить личность любого пользователя в мессенджере MAX

Но не в самом приложении Max – речь пойдёт о продукте стороннего разработчика внутри мессенджера, который почему-то не хочет исправлять очевидную и крайне серьезную ошибку своего сервиса.

https://habr.com/ru/articles/1005618/

#уязвимость #информационная_безопасность #боты #мессенджер_max #api #подмена_данных #авторизация #баг #взломы

CTF от Aclabs? Не, не слышал…

Поскольку я только начинаю свой путь в ИБ, учась, в том числе и на платформе TryHackMe, было интересно получить практический опыт. CTF (Capture The Flag) онлайн соревнования отлично для этого подходят. В январе проходил FIRST SHIFT CTF на THM, но там был уровень Medium. Я до такого уровня еще не дорос, поэтому продолжил обучение и просматривал различные CTF с низким порогом входа. Параллельно обучению, смотрел видео на youtube. В рунете конечно меньше каналов, кто реально делает подробные разборы машин с популярных платформ. 18 декабря я нашел видео "IDOR для новичка. Простая веб уязвимость. Простая машина neighbour на TryHackMe, уровень легкий!" Мне очень понравился формат, я подписался на канал Mister Exploit, стал смотреть и другие видео. В одном из них было упоминание платформы aclabs.pro . Автор канала вообще скромняга, он не рекламирует этот проект в каждом видео. Лишь в конце и то не каждого видео, он напоминает, что есть такая платформа. Если бы у меня был такой проект, я бы делал как каждый блоггер у которого <=100 подписчиков, просил бы подписаться через каждые 5 минут...

https://habr.com/ru/articles/1003642/

#ctfтурнир #ctf #linux #web #mysql #sqlmap #curl #bash #aclabs #уязвимость

Потрошим расширения VS Code: как XSS превращается в кражу ваших SSH-ключей

Многие привыкли считать, что VS Code — это просто текстовый редактор. Но «под капотом» у нас старый добрый Electron со всеми вытекающими. Если расширение имеет доступ к файловой системе, а вы открываете в нём кривой файл поздравляю, вы в зоне риска Я решил покопаться в безопаснности популярных расширений от самой Microsoft: SARIF Viewer и Live Preview . Спойлер: удалось найти обход защиты (CVE-2022-41042) и вытащить локальные файлы через... DNS-запросы.

https://habr.com/ru/articles/1003368/

#VS_Code #безопасность #уязвимость #XSS #Electron #эксплойт #Microsoft #Webview #кибербезопасность

[Перевод] Разработчик нашёл уязвимость у страховщика и оказался на грани юридического разбирательства

Разработчик и инструктор по дайвингу, который предпочёл скрыть своё имя, пожаловался , что он обнаружил уязвимость в личном кабинете крупной страховой компании, но вместо признания получил иск. Приводим перевод этой истории.

https://habr.com/ru/articles/1002386/

#страхование #дайвинг #уязвимость #регистрация_пользователей #персональные_данные #пароли #раскрытие_данных #мальта #gdpr #угрозы

Как узнать айпи собеседника в телеграм в 1 клик? Дуров не фиксит это третий год…

В телеграмме есть способ раскрыть IP собеседника в 1 клик, не скидывая ему никаких файлов, картинок и даже не заставляю его переходить по сомнительным ссылкам. Телеграм даже не предупреждает о том, что вас скамят. Но как?

https://habr.com/ru/companies/femida_search/articles/983028/

#Telegram #дуров #реверс #уязвимость #cve #IP #узнать_IP #иб #инфобез

[Перевод] Уязвимость React2Shell: что произошло и какие уроки можно извлечь

3 декабря 2025 года критическая уязвимость в серверных компонентах React (React Server Components, RSC) потрясла сообщество веб-разработчиков. Была обнаружена уязвимость React2Shell/React4Shell ( CVE-2025-55182 ) с оценкой CVSS 10.0, что является максимальным баллом для уязвимостей. Ошибка позволяет удаленно выполнять код (Remote Code Execution, RCE) на любом сервере, работающем с RSC. В течение нескольких часов после обнаружения уязвимости китайские государственные группы и криптомайнинговые компании начали взламывать уязвимые серверы. В этой статье подробно разбирается, что и почему произошло, а также как незначительное, на первый взгляд, проектное решение в протоколе React Flight превратилось в одну из самых серьезных уязвимостей React в 2025 году. Мы также обсудим, как защитить себя и как эта уязвимость подчеркивает важнейшие принципы безопасности.

https://habr.com/ru/articles/982238/

#javascript #jsx #reactjs #react #exploit #vulnerability #react2shell #уязвимость #rsc #react_flight

Вредоносные расширения. Как браузер работает на атакующего

Всем привет! Сегодня с нами отдела исследования киберугроз Angara Security и его эксперт Артемий Цецерский. Поговорим о вредоносных расширениях браузера и о том, как их эксплуатируют злоумышленники.

https://habr.com/ru/companies/angarasecurity/articles/979302/

#вредоносы #браузеры #расширения_chrome #mitre_att_ck #хакинг #уязвимость #supply_chain #chrome_web_store

[Перевод] «От входа через OAuth до захвата вашего аккаунта» – десктопная версия приложения

Один клик по вредоносной ссылке — и контроль над аккаунтом потерян. Без фишинга, без вредоносного ПО. Я обнаружил уязвимость в механизме OAuth аутентификации популярного десктоп-приложения, позволяющую похитить учетную запись любого пользователя всего в один клик. Основные причины проблемы: отсутствие проверки состояния (state validation), хранение долгоживущих токенов после перенаправления (loopback redirect) и слепое доверие параметру remote_key. В данном посте я подробно расскажу обо всех этапах атаки, почему она сработала настолько эффективно, и каким образом разработчики могут устранить данную проблему. Несколько месяцев назад я решил заняться поиском уязвимостей в десктоп-приложениях. Для ясности поясню: говоря о поиске ошибок в десктоп-программах, я имею в виду взаимодействие приложений с веб-сервисами (процесс аутентификации, обмен данными или любые точки интеграции). Целью моего исследования стала известная компания, и я не вправе раскрывать ее название, поэтому на протяжении всей статьи буду использовать redacted.com .

https://habr.com/ru/articles/975598/

#кибербезопасность #багбаунти #багхантинг #уязвимость #oauth #взлом

Кому на Рунете жить хорошо: ТОП/АНТИ-ТОП уязвимостей ноября

Всякий в Рунете ищет себе жизни хорошей, да только одни сервисы живут вольготно и горя не знают, а другие попадаются в сети хитрые, уязвимостями прозванные. Так и эксперты СайберОК весь ноябрь бродили по цифровым тропинкам и всё пытались понять: кому в Рунете жить хорошо, а кому достаётся участь тревожная. Прошлись по инстансам, сверили телеметрию, посмотрели, где есть PoC’ы, а где только шум, и составили ТОП / АНТИТОП уязвимостей ноября.

https://habr.com/ru/articles/974490/

#уязвимость #cybersecurity #CVE #Squid #React_Server #SQLинъекция #RCE #удалённое_выполнение_кода #DevOps #системное_администрирование

Ты не обязан быть сильным. Ты имеешь право быть настоящим.

Сила — это маска, к которой нас приучили. “Будь стойким”, “не ной”, “преодолевай”. Но иногда ты не хочешь преодолевать. Ты хочешь лечь на пол и замолчать. И именно в этот момент ты настоящий. Не сильный. Не герой. А живой. И если ты это признаешь — ты уже свободен. Потому что ты наконец перестал играть.

#уязвимость #настоящесть #жизнь #свобода #маски
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev

Ты не слабый. Ты просто живой.

Слёзы — не слабость. Страх — не провал. Боль — не знак, что ты проиграл. Это всё — доказательства, что ты дышишь. Умершие не чувствуют. Живи с болью. Не мимикрируй под “сильного”. Ты не камень. Ты человек. Настоящий.

#уязвимость #чувства #жизнь #человечность #сила
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev

Ты не обязан быть сильным. Ты имеешь право быть настоящим.

Сила — это маска, к которой нас приучили. “Будь стойким”, “не ной”, “преодолевай”. Но иногда ты не хочешь преодолевать. Ты хочешь лечь на пол и замолчать. И именно в этот момент ты настоящий. Не сильный. Не герой. А живой. И если ты это признаешь — ты уже свободен. Потому что ты наконец перестал играть.

#уязвимость #настоящесть #жизнь #свобода #маски
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev

Ты не обязан быть сильным. Ты имеешь право быть настоящим.

Сила — это маска, к которой нас приучили. “Будь стойким”, “не ной”, “преодолевай”. Но иногда ты не хочешь преодолевать. Ты хочешь лечь на пол и замолчать. И именно в этот момент ты настоящий. Не сильный. Не герой. А живой. И если ты это признаешь — ты уже свободен. Потому что ты наконец перестал играть.

#уязвимость #настоящесть #жизнь #свобода #маски
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev

Ты не слабый. Ты просто живой.

Слёзы — не слабость. Страх — не провал. Боль — не знак, что ты проиграл. Это всё — доказательства, что ты дышишь. Умершие не чувствуют. Живи с болью. Не мимикрируй под “сильного”. Ты не камень. Ты человек. Настоящий.

#уязвимость #чувства #жизнь #человечность #сила
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev

Ты не обязан быть сильным всегда
Иногда сила — это позволить себе слабость.

#уязвимость #сила #психология #честность
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev
https://t.me/tribute/app?startapp=srfZ

Быть собой — это риск
Когда ты настоящий, ты уязвим. Но только в уязвимости — сила.

#самость #уязвимость #сила #авторство
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev
https://t.me/tribute/app?startapp=srfZ

Настоящая сила — в уязвимости
Когда ты не прячешь. Не играешь. А просто есть. Со всеми трещинами.

#уязвимость #сила #честность #самость
→ https://t.me/tribute/app?startapp=srfZ
P.S. Made by a madman — Kirill Bereznev
https://t.me/tribute/app?startapp=srfZ

💉 На GitHub обнаружили CSS-инъекцию (уже исправлена)

Самые умные пользователи сайта получили возможность украсить свои профили почти как в Steam, и даже лучше. Эта уязвимость срабатывает при рендере текста Markdown, а на нём держится весь GitHub: страницы проектов и организаций, Issues, Pull Requests, Релизы, Вики.

На самом деле это довольно опасная уязвимость. Кое-кто уже догадался разместить большую мигающую Discord-ссылку на весь экран в комментариях к отчётам об ошибках. Ссылки на изображения не кэшируются, поэтому можно узнать IP-адрес пользователей. Даже можно написать скрипт, который приводит к выходу из аккаунта (https://x.com/vmfunc/status/1799246887284797650). Так как Markdown используется на сайте почти везде, заходить на любые страницы становится опасно.

Конечно же эту уязвимость быстро исправили. Но потом это исправление обошли. На текущий момент CSS-инъекция исправлена. В веб-архиве (https://web.archive.org/) есть сохранённые копии страниц с уязвимостью.

#github #vulnerability #уязвимость

Может ли быть уязвимость в дизайне, контенте и CSS и разбор такой уязвимости(?) на Госуслугах / Хабр

#security #vulnerability #госуслуги #уязвимость

https://habr.com/ru/articles/774162/

> Кажется, что уязвимость - штука техническая, но на Госуслугах есть интересная комбинация уязвимостей (ну или, скажем, черт, особенностей) в сфере CSS, дизайна, юзабилити, которые мошенники используют в социальной инженерии.

https://m.youtube.com/watch?v=53fsKnQimL4