Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

#itsecurity

Osobistość

w Dyskusje

8

Kurde, nie da się żyć w tym Zalesiu.

Admin w szkole włączył wymóg Microsoft Authenticator zamiast swojego totp.

Poskarżyłem się na support, bo nawet Azure Portal tego nie wymusza, ale może trzeba będzie ten szpiegujący syf zainstalować.

😒

Gruba ryba1

U mnie yubikey a do reszty google auth i to ta z przeglądarki

Pokaż więcej komentarzy (4)

Gruba ryba

w Hydepark

4

Taka drobna lista dziur w sofcie i nie tylko za październik :smiley:

* PHP2Shell: a hole in the software behind ~70% of websites. Governments took sites offline.

* eMudhra: the master keys that prove websites are real were cracked. One was the number 4.

* California: data on every public school student since 2023 stolen, including disability status

* Railway: hackers stole customers' secret keys from a hosting platform used by millions of developers

* Zeabur: 321,810 accounts breached. The company is shutting down.

* LiteLLM: an AI tool downloaded 3.4 million times a day was poisoned with a password stealer

* GitLab: a 10-out-of-10 severity hole in every version since 2014

* Cairn: criminals used an AI hacking tool to break into 100+ companies

* Ahold Delhaize: hackers knocked the owner of Food Lion and Stop & Shop offline

* Onamae: malware planted on up to 26,739 customer servers in Japan

* Signal: a bug could leave your mic and camera on after you hang up

* NGINX: 3 critical holes in software running ~1/3 of websites

* HTTP/3: a single connection can crash 7 of the 10 web server types tested

* Plex: hackers breaking into home media servers

* SafePay ransomware: FBI warns it has hit 600+ critical infrastructure organizations

* Palo Alto: ransomware gangs breaking in through company firewalls

* Bullhorn: platform used by 10,000+ companies knocked offline

* Medi-Cal: 970,000 patients' data stolen

* WordPress: hackers stole a plugin maker's keys and used them to plant backdoors on websites

* AOMEI: backup software's update server handed out a backdoor

* Meta Muse: Meta's AI agent exposed users' personal and business secrets

* Tor: 333 relays hijacked to steal logins

* TiDB Cloud: database company's cloud breached

* State Bank of India: India's biggest bank confirms a data breach

* OVHcloud: hackers slipped a password stealer into a cloud company's official tool

* Siemens: a software hole being used to spread malware

* North Korea: state hackers launch a new attack campaign on South Korea

GURU1

Parafrazując stare powiedzenie - AI wykona za ciebie połowę roboty, której bez niego w ogóle byś nie miał XD
Tera wszyscy siedzą i łatają wszystko :rolling_on_the_floor_laughing:

Pokaż więcej komentarzy (3)

Lider

w Wiadomości Świat

34

Krytyczne luki w zabezpieczeniach. Zamknięto wiele stron internetowych

Strony internetowe instytucji rządowych w kilku państwach w Europie i poza nią zostały wyłączone po ujawnieniu krytycznych luk w zabezpieczeniach PHP, powszechnie używanego języka programowania. Rządowe witryny zamknięto m.in. Finlandii, Holandii, ale także w Japonii i Australii. W środę część osób

Osobistość

w Dyskusje

53

RCE w PHP, duński wywiad wyłączył serwer webowy, updejtować

#cyberbezpieczenstwo #itsecurity #php #hacking #technologia Wrzucam, gdyby ktoś się dopiero teraz dowiedział. Serwisy wyłączają serwery, żeby uniknąć ataków. Patche już są, można updejtować. To nie jest wyczerpanie tematu, tylko przyjacielskie ostrzeżenie. Wrzućcie newsy o tym, to nie będzie

Debiutant

w Bezpieczeństwo

2

Najlepsze polskie strony o cyberbezpieczeństwie – 17 serwisów, które warto śledzić w 2026 roku

Szukasz dobrych polskich źródeł o cyberbezpieczeństwie? Zebrałem 17 serwisów, które warto śledzić — od CERT Polska i Sekuraka po mniejsze, ale bardzo konkretne strony o phishingu, malware, prywatności i bezpieczeństwie IT. #cyberbezpieczenstwo #cybersecurity #informatyka #technologia #internet

Fanatyk

w Hydepark

13

PSA: Jeśli używacie w swoich wyvibecodowanych projektach wrappera/proxy do modeli językowych, zwanego LiteLLM to sprawdźcie sobie jakie macie wersje, a jeśli instalowaliście wczoraj, to lepiej zrotujcie sobie wszystkie klucze jakie tam macie, zanim skończycie z rachunkami za pizdyliard tokenów i innych zasobów. ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)

Swoją drogą bardzo ładny case study ataku typu "supply chain". Wisienką na torcie jest to, że Trivy, narzędzie, przez które im wbili do CI/CD, to narzędzie "security".

https://www.theregister.com/2026/03/24/trivy_compromise_litellm/

https://blog.dreamfactory.com/the-litellm-supply-chain-attack-a-complete-technical-breakdown-of-what-happened-who-is-affected-and-what-comes-next

Pokaż więcej komentarzy (2)

Zawodowiec

w Cybersecurity

0

Kiedy ostatnio podczas rejestracji na jakiejś stronie internetowej otrzymaliście login i hasło w treści maila rejestracyjnego?

Pokaż więcej komentarzy (5)

Fenomen

w Hydepark

3

Jako że często hejtuje różnych dostawców za brak poszanowania prywatności a jednoczenie chwalę to nie mogę się powstrzymać i muszę dodać ten artykuł.
Polecieli w kulki czy nie polecieli :) odpowiedź moim zdaniem jest oczywista ale ciekaw jestem co powie sąd.

https://imagazine.pl/2024/12/03/pracowniczy-pozew-przeciw-apple-z-oskarzeniami-o-naruszenie-prywatnosci/

Osobistość2

"Można się oburzać na Apple, szczególnie widząc porównania do „więziennego dziedzińca”, jednak to akurat wydaje się mocno nietrafione. Nikt siłą pana Bhaktę w Apple nie trzyma, w przeciwieństwie do osadzonych, którzy na prawdziwych więziennych dziedzińcach przebywają wbrew własnej woli (choć najczęściej na własne życzenie)."

Redaktorzyna niezły kuc sam korzystający z zupełnie innych praw niż pracownik w Stanach. Duża kwestia czy pracownicy mają to w umowie o pracę.

Gruba ryba

w Komputery

7

Kiedyś to były czasy, dziś nie ma czasów.

Fanatyk6

@dolitd pierwszy raz to na oczy widzę.

Gruba ryba0

@Acrivec Serio? Jeden z najlepszych firewalli do domowego użytku. Bardziej dla zaawansowanych użytkowników, ze względu na dużą swobodę konfiguracji i potencjalnie mnóstwo alertów bezpieczeństwa, co mogło przerazić zwykłych ludzi. Aż mi łezka poleciała jak go wycofali.

Pokaż więcej komentarzy (4)

Zawodowiec

w Bezpieczeństwo

8

Bezpieczeństwo API - devszczepaniak.pl

Temat bezpieczeństwa API to temat rzeka, o którym można by napisać książkę. Na sam początek myślę, że wystarczy artykuł. W podlinkowanym artykule przedstawiłem wybrane aspekty bezpieczeństwa API, z naciskiem na REST API oparte na protokole HTTP. W artykule zawarłem opis popularnych błędów

Zawodowiec

w Programowanie

1

Korzystasz z plików .env w projektach Node.js? Istnieją co najmniej dwa powody, dla których nie warto tego robić!

Pierwszym problemem z plikiem .env jest to... że jest plikiem. Pliki .env często zawierają wrażliwe wartości np. hasła czy sekrety. Istnieje kilka sposobów na omyłkowe upublicznienie tego pliku, takie jak dołączenie go do obrazu dockerowego czy przypadkowy commit do repozytorium. Ponadto, osoba uprawniona do odczytu pliku ma dostęp do wszystkich zmiennych w nim zawartych!

Drugim problemem z plikami .env jest... wbudowane wsparcie dla nich od Node.js 20.6.0. Dotychczas, jednym ze sposobów na pracę z plikami .env była paczka dotenv. Mimo dodania wsparcia w Node prawdopodobnie w wielu projektach ta paczka pozostanie... a jest to błąd! Dalsze wsparcie dla tej paczki, w kontekście ostatnich zmian w Node.js mija się z celem, przez co szansa na naprawianie błędów (w tym błędów bezpieczeństwa) maleje.

          

Sprawdź linki, by dowiedzieć się więcej:

- https://dev.to/gregorygaines/stop-using-env-files-now-kp0

- https://nodejs.org/en/blog/release/v20.6.0

Gruba ryba0

@elszczepano Czy ja dobrze zrozumiałem że jednym z argumentów przeciwko plikom dotenv jest ich natywne wsparcie przez nodejs? Świat JSa nigdy nie przestanie mnie zaskakiwać xD

Inne ekosystemy: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, więc możemy z niej bezpiecznie zrezygnować.

JS: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, WIĘC MUSIMY NATYCHMIAST CAŁE TO ROZWIĄZANIE WYWALIĆ Z PROJEKTU I WSADZIĆ COŚ NOWEGO I MODNEGO, NAJLEPIEJ POWSTAŁEGO W ZESZŁYM TYGODNIU

( ͡° ͜ʖ ͡°)

Natomiast co do pierwszego argumentu to też średnio się zgadzam :v nie dość że zazwyczaj konfig tam jest związany mocno z lokalnym środowiskiem (no, może ewentualnie jakieś api keye do stagingu sie pojawią), to jeszcze przecież nikt tego ręcznie nie "odznacza" ani z commita ani z dockera tylko zajmują się tym odpowiednie configi których wystarczy nie ruszać. Ktoś chyba celowo by musiał regułę z gitignore wywalić?

I to nie tak że się całkiem z tezą nie zgadzam, ot podnoszę dialog xD

Osobistość0

@Barcol jak myslisz, goscie od node.js nie ogarniaja czy moze jakis randomowy ziomek co prowadzi bloga jest w bledzie? Gosc prowadzi bloga i promuje sie tutaj. I niby spoko, ale jak sam pisze kodowanie profesjonalne zaczal w polowie 2018. Ja nie mialbym tyle odwagi zeby po tak krotkim czasie kreowac sie na eksperta.
.env jest spoko, to jest standard w js, koncepcja jest zrozumiala dla kazdego. Wystarczy tego nie wkomitowac na git'a i jest ok.

Gruba ryba0

@666 Pięknie przedstawione pytanie: 3 tysiącę technicznych kontrybutorów, czy jeden random. Tylko że na community nodejs nie składa się jeden sam autor bloga, tylko rzesza ludzi o wiele większa niż gromada jego twórców, i w której to grupie ogrom jest osób, które jak sam zauważyłeś, są pewnie w błędzie. A to właśnie oni ustalają trend, jako grupa. Oni podejmują wybory, które w perspektywie czasu doprowadzają do upadku lub rozrostu danych rozwiązań. Humorystyczna wstawka jaką umieściłem z capslockiem ma za zadanie podkreślić, że akurat w świecie JSa (pewnie przez jego popularność) takie dziwne uciekanie od przestarzałych (czyli starszych niż rok) rozwiązań, na rzecz tych z zeszłęgo tygodnia/miesiąca, jest standardem. IMO doskonale oddaje to satyryczny artykuł (prehistoryczny, ma 7 lat i dwa tygodnie) dostępny tutaj: https://hackernoon.com/how-it-feels-to-learn-javascript-in-2016-d3a717dd577f

Żeby nie było że gadam bzdury bez poparcia: Jest taki nowy framework JSowy o nazwie Bun. W zasadzie to runtime, menadżer paczek, i wiele innych w jednym. Bun w pierwszej stabilnej wersji ma dopiero miesiąc. Już od paru osób słyszałem, że koniecznie muszą przepisać na niego swój projekt xD A dodatkowo już zdążył trafić np. do Railsów w wersji 7.1 XD

Co do konkluzji to sam używam chętnie dotenva i nie mam zamiaru go porzucać, natomiast nie mogę odmówić autorowi posta, że faktycznie dobrze jest go nie commitować xD A niewspierane paczki z lukami bezpieczeństwa - porzucać.

How it feels to learn JavaScript in 2016 | HackerNoonNo JavaScript frameworks were created during the writing of this article.Hackernoon
Osobistość0

@elszczepano nie obrazaj sie. Pisze o swoim punkcie widzenia. Moj jest po prostu inny. Co do ilości lat kodowania to niestety doswiadczenie mi mowi ze ekspertami sa ludzie kt siedza w temacie 8, 10 i wiecej lat. Dodatkowo większość z nas nie bd nigdy ekspertem tylko zwyklym klepaczem kodu - za takiego sie uwazam.

Co do samego tematu: artykuł kt podlinkowales trigeruje mnie. Bait'owy tytul a la yutuberowi znawcy od wszystkiego. .env bd żył jeszcze długo i nic tego nie zmieni, dziala dobrze. Ma wiele zalet: battle tested i praktycznie nie trzeba tego utrzymywać ani poświęcać czasu. Programisci zapominaja ze kod ma zarabiac na siebie, a nie dawac radosc z testowania na prodzie nowosci.

Zawodowiec1

@666 spokojnie, nie obrażam 😉

Nie staram się pozować na eksperta, raczej na kolesia, który lub dzielić się zdobytą wiedzą. Opublikowana notka była czymś na zasadzie luźnej rozkminy i przemyślenia którą kiedyś sobie zapisałem gdzieś na boku. Możliwe, że troche zbyt baitowa forma, ale shit happens :man-shrugging:

Z .env sam korzystam, ale uważam że są lepsze rozwiązania ale to już raczej temat na wpis na bloga (z mniej baitowym tytułem ;)).

Z zaletami się zgadzam, ale co do zarabiania kodu na siebie to mój główny problem z dotenv jest taki, że IMO skończy tj. lodash, który ostatni release na npm miał w 2021 roku. Wtedy wystarczy, że ktoś znajdzie w nim jakiś poważny vuln i robi się problem.

Zawodowiec1

@elszczepano a jaka alternatywa dla `.env` ? Bo nie wiem, czy wiesz, ale jest `.gitignore` i `.dockerignore`, dzięki którym nikt przypadkowo nie wcommituje/nie doda pliku do git/docker.
`.env` rozwiązuje problem różnych konfiguracji lokalnych dla różnych developerów. Każdy z nich ma inny system operacyjny, różne porty, różne hasła, różną konfigurację. Jeden lubi naleśniki, drugi jak mu nogi śmierdzą. Skoro nawet twórcy node to dostrzegają i dodają natywne wsparcie, to czemu z tego nie korzystać? Podaj alternatywę.

Pokaż więcej komentarzy (7)

Osobistość

w Hydepark

0

  

Hej okazuje się że chyba muszę zmienić wszystkie hasła. Jaki manager haseł polecacie?

Pokaż więcej komentarzy (10)

Specjalista

w Cybersecurity

2

Cześć, pracował ktoś z was jako Vulnerability Management Engineer/ Vulnerability Scanning Engineer dla Fujitsu w Łodzi?

Jakie wrażenia, atmosfera, szkolenia itd.? Idealnie byłoby się też dowiedzieć jakie proponują widełki i sprzęt na jakim pracują. Niedługo mam drugi etap rozmowy o pracę i z chęcią dowiem się czy warto pchać się w to dalej - gowork niestety nie ma o nich dobrej opinii.

Wielkie dzięki za wszelkie odpowiedzi! :grinning:

      

Specjalista1

@MHLDSW Były gorsze i lepsze momenty. Przedmówca nakreślił już jak wygląda to i owo. Na pewno nie jest to kołchoz jak GFT.

Pokaż więcej komentarzy (10)