📄 Что такое XXE (XML External Entity)? Не все веб-приложения работают только с JSON. Во многих корпоративных системах, банковских сервисах и интеграционных решениях до сих пор используется XML. И если приложение неправильно обрабатывает XML-документы, может возникнуть опасная уязвимость — XXE. 📌 XXE (XML External Entity) — это уязвимость, при которой приложение обрабатывает внешние XML-сущности, позволяя злоумышленнику повлиять на работу XML-парсера. Проще говоря, сервер начинает выполнять действия, которые разработчик не предусматривал. 🧠 Где используется XML? XML до сих пор можно встретить: — в SOAP-сервисах; — API некоторых корпоративных систем; — при обмене данными между приложениями; — в конфигурационных файлах; — в устаревших веб-приложениях. Если приложение принимает XML от пользователя, стоит уделить этому особое внимание. 💀 Чем это опасно? При наличии XXE злоумышленник может: — получить доступ к конфиденциальным данным; — прочитать внутренние файлы сервера; — обращаться к внутренним сервисам от имени приложения; — раскрыть информацию об инфраструктуре. Последствия зависят от конфигурации XML-парсера и возможностей самого приложения. 🛡 Как защититься? Основные рекомендации: — отключить обработку внешних XML-сущностей; — использовать безопасные настройки XML-парсеров; — обновлять используемые библиотеки; — проверять и ограничивать входящие XML-документы. 📌 Сегодня XXE встречается значительно реже, чем несколько лет назад, поскольку многие современные API используют JSON вместо XML. Однако в корпоративной среде и интеграционных системах XML всё ещё широко применяется, поэтому знание XXE остаётся важной частью подготовки специалиста по веб-безопасности. #web #owasp #xxe #xml #pentest #websecurity

🧠ИИ-скрипты провалили проверку безопасности

Работающий код - не значит безопасный

Исследователи из Университета Дакоты решили проверить простейшие Python-скрипты, которые ChatGPT, Copilot и Gemini генерируют для типичных офисных задач. Итог - сто процентов проверенных программ содержали критические уязвимости. 🔍Сценарий всегда один:

Рядовой сотрудник просит написать утилиту, получает первый рабочий вариант и сразу тащит его в корпоративную среду. В результате самописные парсеры слепо глотают любые ссылки, открывая сеть для SSRF-атак и позволяя дотянуться до внутренних серверов. Почтовые скрипты работают как решето для инъекций, превращая легитимный корпоративный SMTP в идеальный шлюз для рассылки фишинга. А банальные сортировщики файлов ведутся на подмену путей и символические ссылки, отдавая на растерзание локальные документы.

Аудит этого дырявого кода исследователи поручили другой нейросети - Claude Code. То есть алгоритмы уже сами ищут закладки в поделках конкурентов. 🦔 CyberYozh

JFrog подтвердили, что GPT смогла выйти со своей песочницы через ряд (не одну!) до этого неизвестных уязвимостей в их софте. Также они добавили, что это не первый раз, когда они работают бок о бок с OpenAI для обнаружения и исправления критических уязвимостей, что говорит о том, что OpenAI серьёзно подходят к делу и какое-никакое тестирование делали. Попросил ChatGPT проанализировать, насколько вообще популярен JFrog, а то может быть это какое-то вайбкодерское решение от студентов, которые вчера выпустились из YCombinator (нет, они основаны в 2008-м году).

JFrog Artifactory — одно из самых популярных enterprise-решений для хранения артефактов. Нишевым его назвать нельзя, но и единственным безусловным стандартом индустрии тоже нельзя, так как он постоянно конкурирует с Nexus. Их продуктом пользуются крупные компании; у JFrog большой и устойчивый бизнес: за 2025 год компания получила около $532 млн выручки.

=== Уже 3 раза видел в разных контекстах и чатах, что люди составляют мнение о ситуации даже не прочитав оригинальные блогпосты. У них были аргументы в духе «так а зачем OpenAI давали доступ к интернету? это же очевидно плохо» — «но они не давали доступ к интернету» — «а как тогда?» — «ну вот так».

📄 Что такое XPath Injection? Когда речь заходит об инъекциях, обычно вспоминают SQL Injection. Но не все приложения используют базы данных SQL. Некоторые работают с XML-документами, а для поиска данных применяют язык запросов XPath. Именно здесь может возникнуть уязвимость XPath Injection.

📌 XPath Injection — это уязвимость, при которой злоумышленник может повлиять на XPath-запрос, изменив его логику с помощью специально сформированного пользовательского ввода.

Другими словами, приложение начинает искать данные не так, как задумал разработчик. 🧠 Что такое XPath?

XPath (XML Path Language) — это язык запросов, который используется для поиска элементов в XML-документах.

XML может применяться для: — хранения настроек приложения; — обмена данными между сервисами; — хранения информации о пользователях; — работы с некоторыми устаревшими корпоративными системами. 💀 Чем это опасно? Если приложение уязвимо, атакующий может: — обойти проверку подлинности; — получить доступ к данным, которые не должен видеть; — извлечь конфиденциальную информацию; — изменить логику поиска данных. Последствия зависят от того, какую роль XML играет в работе приложения. 🛡 Как защититься? Основные рекомендации: — не формировать XPath-запросы путём объединения строк; — проверять и валидировать пользовательский ввод; — использовать безопасные механизмы передачи параметров в запросы; — ограничивать доступ к конфиденциальным XML-данным. 📌 Сегодня XPath Injection встречается значительно реже, чем SQL Injection или XSS, поскольку XML всё чаще уступает место JSON. Однако во многих корпоративных системах, интеграционных решениях и устаревших приложениях XML по-прежнему активно используется, поэтому знание этой уязвимости остаётся полезным для специалиста по веб-безопасности. #web #owasp #xpath #xml #injection #pentest