Кібербезпека
HTTP Request Smuggling: як різне трактування запиту розділяє proxy та backend
Request smuggling виникає, коли front-end і back-end по-різному визначають межу HTTP message, через що залишок bytes стає початком чужого запиту.
Архів TechPulse
Кібербезпека
Захист даних, цифрова ідентичність, приватність і аналіз актуальних кіберризиків.
Кібербезпека
Небезпечна десеріалізація: чому неперевірений об’єкт може запустити код
Native object serialization може містити типи й граф об’єктів, які під час deserialization викликають constructors, setters або gadget chains до перевірки бізнес-полів.
Кібербезпека
XXE: як зовнішні сутності XML відкривають файли та внутрішні адреси
XML External Entity attack використовує DOCTYPE/entity, щоб parser прочитав локальний файл, виконав network request, розкрив дані через error або виснажив ресурси.
Кібербезпека
Subresource Integrity: як перевіряти скрипти та стилі зі стороннього CDN
SRI дозволяє браузеру перевірити cryptographic hash зовнішнього script або stylesheet до виконання, тому зміна файла на CDN не проходить непомітно.
Кібербезпека
HSTS і preload: як змусити браузер завжди використовувати HTTPS
HTTP Strict Transport Security наказує браузеру надалі звертатися до host лише через HTTPS, прибираючи downgrade і cookie exposure після першого захищеного response.
Кібербезпека
Attestation у WebAuthn: що сайт може дізнатися про автентифікатор користувача
WebAuthn attestation під час registration може підтвердити властивості authenticator, але збір зайвих ідентифікаторів створює privacy та операційний trade-off.
Кібербезпека
DMARC, SPF і DKIM: як alignment захищає домен від підроблених листів
SPF дозволяє sender IP для envelope domain, DKIM підписує headers/body, а DMARC вимагає, щоб видимий From був aligned хоча б з одним успішним механізмом.
Кібербезпека
Prototype Pollution у JavaScript: як властивість прототипу змінює поведінку застосунку
Prototype pollution дозволяє attacker записати властивості в Object.prototype або інший спільний prototype через небезпечний deep merge, parser чи dynamic assignment.
Кібербезпека
Path Traversal: як ../ дозволяє читати файли поза дозволеним каталогом
Path traversal використовує компоненти шляху, encoding, separator або symlink, щоб file operation вийшла за intended base directory.
Кібербезпека
SSRF: як небезпечна URL-функція відкриває доступ до внутрішньої мережі
Server-Side Request Forgery виникає, коли сервер отримує URL від користувача й виконує request із власної мережевої позиції, досягаючи metadata, localhost або внутрішніх services.
Кібербезпека
Секрети та персональні дані в логах: redaction, retention і контроль доступу
Logs потрібні для діагностики й аудиту, але tokens, passwords, payment data, health records і повні identifiers перетворюють observability system на окреме сховище ризику.
Кібербезпека
Безпечний redirect URI в OAuth: exact match, state і захист authorization code
Redirect URI визначає, куди authorization server повертає code; слабке зіставлення дозволяє передати його attacker-controlled endpoint або через open redirect.