Исследования7 мин
AIOS 5.4.9: обход 2FA через доверенное поле запроса (CWE-287)
В AIOS 5.4.9 код 2FA сверяется с учётной записью из запроса, а не с той, чей пароль подтверждён, — изъян аутентификации CWE-287.
Команда Noroxi
Блог о безопасностиТехнические заметки.
Не маркетинг, а детали, которые имеют значение: настройка, метод проверки и шаги по устранению.
Исследованияизбранное7 мин
CVE-2026-87902: критическая уязвимость WordPress — что делать
CVE-2026-87902 в WordPress 4.7–7.1.1 позволяет без учётной записи подключать файлы сервера, а при ряде условий — выполнять код. Уже эксплуатируется. Причина, темы в зоне риска, проверка и версии с исправлением.
Команда Noroxi
- Веб-безопасность7 мин
Ошибки проверки подписи JWT: библиотека обновлена, конфигурация — нет
Мы обнаружили похожую уязвимость аутентификации у трёх разных клиентов. Проблема была не в библиотеке, а в переданных ей параметрах. На что обратить внимание и как её устранить.
Команда Noroxi - Исследования8 мин
CVE-2026-97205: ошибка памяти в nginx при AIO и SSI. Затронут ли ваш сервер?
Затронуты nginx 0.8.11–1.31.6, исправлено в 1.30.6 и 1.31.7 (14 октября 2026 г.). Срабатывает только при включённом AIO и SSI с include virtual, обе по умолчанию выключены. Проверка, исправленные версии, временная мера.
Команда Noroxi - Исследования12 мин
CVE-2026-109618: удалённое выполнение кода в PHP без входа. Затронут ли ваш сайт?
Затронуты PHP 8.2–8.5 до 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Раскрыты 21 октября 2026 г.; Cloudflare видит атаки. Сайты на PHP помимо WordPress, что Cloudflare останавливает и что нет, проверка версии и временные меры.
Команда Noroxi - Исследования8 мин
CVE-2025-39682: ошибка памяти в kTLS ядра Linux. Затронут ли ваш сервер?
Затронуты Linux 6.0 и новее, а также RHEL, AlmaLinux и Rocky 9–10; исправления вышли ещё в 2025 г. С 18 сентября 2026 г. в каталоге CISA KEV. Как проверить kTLS, исправленные ядра по дистрибутивам и почему важна перезагрузка.
Команда Noroxi - Исследования8 мин
CVE-2026-85706: чтение файлов в GitLab без входа. Затронут ли ваш сервер?
Затронут GitLab 18.7–19.3.1 на собственном сервере, исправлено в 19.3.2. С 11 сентября 2026 г. в каталоге эксплуатируемых CISA. Как проверить версию, исправления по веткам и какие секреты сменить.
Команда Noroxi - Исследования9 мин
Повышение привилегий в PublishPress Capabilities (CWE-862)
Отсутствующая проверка отдельной возможности в PublishPress Capabilities повышает делегированного менеджера до администратора. Защитный разбор безопасного кода.
Команда Noroxi - Исследования8 мин
ASE: обход скрытия входа и раскрытие секретного slug
Один параметр запроса обходит скрытие входа в плагине ASE и раскрывает секретный slug: первопричина, последствия и защита.
Команда Noroxi - Исследования10 мин
Anywhere Elementor 1.3.0: нарушенный контроль доступа в слое AJAX
Одноразовый токен AJAX на каждой фронтенд-странице и отсутствие проверок прав ведут к раскрытию непубличного контента и записи опции с низкими правами.
Команда Noroxi - Исследования7 мин
ElementsKit Lite 4.0.7: неаутентифицированное раскрытие шаблонов
Из-за отсутствия проверки авторизации в ElementsKit Lite 4.0.7 анонимные посетители читают опубликованные шаблоны Elementor через REST-маршрут мегаменю.
Команда Noroxi - Исследования7 мин
Essential Blocks: роль «Автор материалов» читает API-ключ Google Maps (отсутствие авторизации)
Отсутствие проверки прав в Essential Blocks даёт любому «Автору материалов» API-ключ Google Maps администратора. Разбор первопричины и исправление.
Команда Noroxi - Исследования8 мин
GiveWP 4.18.0: раскрытие данных жертвователей без аутентификации (CWE-862)
Отсутствующая проверка прав в REST API v3 плагина GiveWP открывает любому имена жертвователей, суммы и даты. Разбор нарушения контроля доступа.
Команда Noroxi - Исследования9 мин
Google Captcha от BestWebSoft: обход CAPTCHA без аутентификации
Нестрогая проверка подстроки в URI запроса позволяет анонимному посетителю отключить reCAPTCHA в плагине WordPress со 100 тыс. установок.
Команда Noroxi - Исследования8 мин
SSRF в Happy Addons for Elementor 3.50.0 из-за разбора API-ключа (CWE-918)
Неочищенное поле Mailchimp API-ключа в Happy Addons for Elementor 3.50.0 позволяет участнику (Contributor) инициировать серверные запросы (CWE-918).
Команда Noroxi - Исследования8 мин
Login LockDown 2.18: обход встроенной CAPTCHA воспроизведением токена
Login LockDown 2.18 отдаёт ответ CAPTCHA браузеру как токен; одна захваченная пара воспроизводится бесконечно. Причина, исправление, обнаружение.
Команда Noroxi - Исследования10 мин
Loginizer: обход защиты от перебора через подмену IP-заголовка
Loginizer привязывает блокировку перебора к подменяемому IP-заголовку, и неаутентифицированный злоумышленник обходит лимит. Защитный разбор CWE-348.
Команда Noroxi - Исследования8 мин
Плагин Maintenance: обход режима обслуживания без аутентификации
В плагине Maintenance (1M+ установок) решение снять стену обслуживания принимается по cookie, которую задаёт сам посетитель и которую не сверяют с секретом.
Команда Noroxi - Исследования9 мин
Page Optimize: неаутентифицированный DoS через переполнение кэша (CWE-770)
Ключ кэша Page Optimize строится из сырого URI запроса, и анонимный посетитель может завалить сайт дублями кэш-файлов, исчерпав диск и inode (CWE-770).
Команда Noroxi - Исследования9 мин
Premium Addons for Elementor: нарушение контроля доступа (CWE-862)
Два дефекта отсутствующей авторизации в Premium Addons for Elementor 4.11.110: участник публикует записи, аноним читает закрытые шаблоны библиотеки.
Команда Noroxi - Исследования10 мин
Обход 2FA в WP Hide & Security Enhancer 2.9.3 через «Настроить позже»
WP Hide & Security Enhancer 2.9.3 завершает вход без второго фактора для пользователей с уже настроенной 2FA — через путь «Настроить позже» по умолчанию.
Команда Noroxi - Исследования10 мин
Отсутствие авторизации в WPS Hide Login (CWE-862)
AJAX-обработчик WPS Hide Login не проверяет права, и любой подписчик может записывать site-transient WordPress. Разбор первопричины, патч и защита.
Команда Noroxi - Исследования7 мин
301 Redirects 2.85: отсутствие авторизации (CWE-862)
В 301 Redirects 2.85 AJAX-действие проверяет только nonce, и любой Подписчик может записать глобальную опцию сайта (CWE-862).
Команда Noroxi - Исследования8 мин
Admin and Site Enhancements: IDOR раскрывает URL вложений
AJAX-обработчик ASE в WordPress пропускает проверку прав и nonce, и любой авторизованный Подписчик превращает ID вложения в URL медиафайла.
Команда Noroxi - Исследования8 мин
Limit Login Attempts Reloaded 3.3.10: отсутствие авторизации (CWE-862)
Отсутствие проверки авторизации в Limit Login Attempts Reloaded 3.3.10 даёт анонимному запросу переключать уведомление о кэше страницы входа. Разбор CWE-862.
Команда Noroxi - Инфраструктура6 мин
Заголовки безопасности: десять уязвимостей, закрытых пятью строками
HSTS, CSP, X-Frame-Options и другие. Что блокирует каждый заголовок, какие настройки вызывают проблемы в продуктивной среде и как внедрять их поэтапно.
Команда Noroxi - Соответствие5 мин
Уведомление об утечке данных по KVKK: правило 72 часов и техническая готовность
Обязанность уведомления по KVKK (турецкий закон о защите персональных данных) кажется юридическим вопросом, но без журналирования и средств обнаружения уложиться в срок невозможно.
Команда Noroxi