👾 В игре Prototype (помните такую?) вирус «Черный свет» заразил весь город. В цифровом мире тоже есть уязвимость, схожая с названием игры и принципом действия вируса, — Prototype Pollution в JavaScript.

Она позволяет атакующему «загрязнить» поле глобального объекта, которое может наследоваться пользовательскими объектами и создавать угрозу для безопасности приложения.

Несмотря на известность (мы в том числе несколько раз писали в канале про Prototype Pollution), некоторые популярные решения до сих пор остаются уязвимыми. Из последних — библиотека на TypeScript clickbar/dot-diver (спойлер: уязвимость уже была устранена в версии 1.0.2 и выше).

🤔 Как нужно было пользоваться библиотекой, чтобы точно столкнуться с уязвимостью? Как она эксплуатируется? И какие меры противодействия существуют?

Об этом в нашем блоге на Хабре рассказал Александр Болдырев, ведущий специалист группы экспертизы статического анализа приложений Positive Technologies.

@POSIdev

Чтобы правильно понимать результаты томограммы — нужно быть врачом, а чтобы правильно анализировать код — нужна экспертиза 🤓

Тремя советами о том, как вкатиться в тему безопасной разработки, в подкасте SafeCode Live поделился Владимир Кочетков, руководитель экспертизы безопасности приложений, Positive Technologies.

Полный выпуск можно посмотреть на YouTube-канале, а в марте следующего года пройдет большая конфа SafeCode, где будет обсуждаться все, что касается безопасности приложений. Небольшой спойлер: мы тоже будем принимать в ней участие, но расскажем подробнее чуть позднее 😉