❗️JetBrains TeamCity CVE-2024-27198 - Authentication bypass и CVE-2024-27199 - path traversal ❗️

В последнем релизе обнаружены новые уязвимости в JetBrains TeamCity, которые следует принять к сведению.

⚡️CVE-2024-27198 (Критикал): до версии 2023.11.4 JetBrains TeamCity подвержен обходу аутентификации, что позволяет злоумышленнику выполнять действия администратора.

⚡️CVE-2024-27199 (Медиум): в версии до 2023.11.4 существует возможность обхода путей, что дает возможность злоумышленнику выполнять ограниченные действия администратора.

Эти уязвимости повторяют тему обхода аутентификации и обхода путей, которая была замечена в предыдущих релизах.

♻️Рекомендуем обновить вашу систему до последней версии 2023.11.4, чтобы устранить эти уязвимости и обеспечить безопасность ресурса.

👀А вы следите за обновлениями плагинов в вашей CMS?

Поддержание актуальности плагинов в вашей CMS имеет большое значение для безопасности и производительности вашего веб-сайта. Не забывайте следить за обновлениями и своевременно устанавливать их, чтобы обеспечить безопасность и эффективную работу вашего сайта.

Подборка последних и интересных CVE

❗CVE-2024-25909 NIST|CVE.ORG [9.9] Joomla "JoomUnited WP Media folder" plugin - Несанкционированная загрузка файлов.

❗CVE-2024-25100 NIST|CVE.ORG [10.0] Wordpress "WP Swings Coupon Referral Program" plugin - Небезопасная десериализация ведущая к исполнению вредоносного кода.

❗CVE-2024-24311 NIST|CVE.ORG [7.5] PrestaShop "Multilingual and Multistore Sitemap Pro" module - Неавторизованный пользователь может получить персональную информацию за счет Path Traversal.

❗CVE-2024-23507 NIST|CVE.ORG [8.5] Wordpress InstaWP Connect plugin - Неверная фильтрация ввода, ведущая к SQL injection.

❗CVE-2024-23049 NIST|CVE.ORG [9.8] Symphony - Исполнение кода через log4j компонент.

🔥Обновление модуля исследования структуры API платформы «Вембониторэкс»🔥

В марте мы добавили новую функцию сравнения спецификаций (OAS) в модуль «Структура API».

Теперь можно удобно и просто:

✔️Сравнить спецификацию, генерируемую на этапе разработки API с тем, что вы видите в трафике.

✔️Выделить те параметры и роуты, которые нужно ограничить или скорректировать.

✔️Обнаружить теневые (shadow) API, неспользуемые (orphan) API, призрачные (zombie) API.

API FIRST ближе, чем вы думаете!

Для действующих пользователей модуля «Структура API» эта функциональность уже доступна.

Если вы еще не используете модуль «Структура API», но хотите его протестировать, обращайтесь на: sales@webmonitorx.ru.

API есть?.. А если найду?

Найти все API — важная задача в процессе выстраивания их успешной защиты. Поэтому, имея сведения о структуре своих API, вы уже окажетесь на шаг впереди злоумышленников. А что делать с этой информацией?

Компания Вебмониторэкс ответит на этот и другие вопросы на своем вебинаре 16 мая. Теорию подкрепит практический кейс заказчика.
Начало в 12:00.

О чем расскажем на вебинаре:
- На что обратить внимание при обеспечении безопасности API в современных условиях.
- Изменения в инфраструктуре. Что дальше?
- Защита и управление API. Почему это важно.
- Подходы по защите API. От зрелости к эффективности: Знать. Защищать. Не допускать.
- Реализация на платформе «Вебмониторэкс»: компоненты для защиты и управления API.

Ведущий вебинара — Лев Палей, CISO Вебмониторэкс.
Специальный гость — Кирилл Ильин, CISO «СберАвто».
Он честно и открыто расскажет о задачах, практике и результатах защиты API в своей компании.

Кому полезно:
- Специалистам, участвующим в разработке критичных для бизнеса веб-приложений
- Руководителям подразделений по информационной безопасности
- Специалистам Application Security

Почему полезно:
- Узнаете о современной концепции управления API
- Увидите пример ее реализации на платформе «Вебмониторэкс»
- Услышите от CISO об успешном опыте защиты и управления API на примере компании «СберАвто»

Регистрируйтесь по ссылке. Вебинар про защиту API 16 мая в 12:00