Spring Framework RCE, Early Announcement
Updates [04-13] "Data Binding Rules Vulnerability CVE-2022-22968" follow-up blog post published, related to the "disallowedFields" from the Suggested Workarounds [04-08] Snyk announces an additional attack vector for Glassfish and Payara. See also related Payara, upcoming release announcement [04-04] Updated Am I Impacted with improved description for deployment requirements [04-01] Updated Am I I
ソフトウェアサプライチェーンのセキュリティとは何か？なぜ重要なのか？〜開発ワークフロー全体をセキュアに
ソフトウェアサプライチェーンのセキュリティとは何か？なぜ重要なのか？〜開発ワークフロー全体をセキュアに 開発しているソフトウェアにどのようなOSS何が組み込まれているか、本当にご存じですか。 今やオープンソースは、自社開発コードベースやコミュニティプロジェクトなど、至るところにあります。組織においては、オープンソースコードを使っているか否かが問題なのではなく、どのオープンソースコードをどれくらい使っているかが重要なのです。ソフトウェアサプライチェーンの内容を認識していなければ、いずれかの依存関係における上流の脆弱性がアプリケーションに影響を及ぼし、セキュリティ侵害を受ける可能性が高くなります。この記事では、“ソフトウェアサプライチェーンのセキュリティ”の意味を深く掘り下げ、それがなぜ重要であるか、そしてプロジェクトのサプライチェーンのセキュリティをいかに強化できるかを見ていきます。 ソフト
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) | Articles | web.dev
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) Stay organized with collections Save and categorize content based on your preferences. Cross-site scripting (XSS), the ability to inject malicious scripts into a web app, has been one of the biggest web security vulnerabilities for over a decade. Content Security Policy (CSP) is an added layer of security that helps to
Spectre
This site hosts a proof of concept for the Spectre vulnerability written in JavaScript. It was developed and optimized for Chrome 88 running on an Intel® Core™ i7-6500U processor on Linux. While it was confirmed to work on other CPUs (different vendor and/or generation), operating systems and Chromium flavors, you might have to adjust the configuration and it might work less reliably (or not at al
Google I/O'19: Securing Web Apps with Modern Platform Features
Common vulnerabilities such as XSS, CSRF, and others have long plagued the web, accounting for most of the high-risk flaws reported under Google's Vulnerability Reward Program. Learn about the latest web platform security mechanisms to protect your apps from injections and isolate them from dangerous sites. You'll leave with a security checklist for defending your applications with new browser fea
Prevent DOM-based cross-site scripting vulnerabilities with Trusted Types | Articles | web.dev
Prevent DOM-based cross-site scripting vulnerabilities with Trusted Types Stay organized with collections Save and categorize content based on your preferences. DOM-based cross-site scripting (DOM XSS) happens when data from a user-controlled source (like a username, or a redirect URL taken from the URL fragment) reaches a sink, which is a function like eval() or a property setter like .innerHTML
オリジン全体にポリシーを適応するOrigin PolicyをChromeで試す - ASnoKaze blog
目次 Origin Policy 有効にさせる方法 試してみる Chromeがオリジン全体にポリシーを適応する「Origin Policy」という仕様をサポートしてるようなので、簡単に試してみる。(現在は Chrome Canaryのみの模様) おそらく仕様及び実装も変わりうるので注意が必要です（極力仕様の変更があったら、記事を更新するようにします） Origin Policy Content-Security-PolicyやFeature-Policyといった、ブラウザがページを表示する際に機能を制限したりセキュリティ上の制限を与える機能があります。これらの機能はレスポンスヘッダに該当のヘッダを付けることでポリシーを適応させることができます。 そのため、これらの機能をもれなく適応するにはレスポンスの都度きちんとこれらのヘッダーを付加しなければなりません。 また、CSPやFeature-P
JavaScript frameworks security report 2019 | Snyk
Welcome to Snyk's State of JavaScript frameworks security report 2019. In this report, we investigate the state of security for both the Angular and React ecosystems. This report by no means intends to venture into any rivalries that may exist between the two in terms of whether one or the other is a true framework - we are not comparing them as competitive frameworks at all. Instead, we review th
SameSite cookie recipes | Articles | web.dev
SameSite cookie recipes Stay organized with collections Save and categorize content based on your preferences. Chrome, Firefox, Edge, and others are changing their default behavior in line with the IETF proposal, Incrementally Better Cookies so that: Cookies without a SameSite attribute are treated as SameSite=Lax, meaning the default behavior is to restrict cookies to first party contexts only. C
徳丸浩の日記: SSRF(Server Side Request Forgery)徹底入門
SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接
GitHub - apostrophecms/sanitize-html: Clean up user-submitted HTML, preserving whitelisted elements and whitelisted attributes on a per-element basis. Built on htmlparser2 for speed and tolerance
sanitize-html provides a simple HTML sanitizer with a clear API. sanitize-html is tolerant. It is well suited for cleaning up HTML fragments such as those created by CKEditor and other rich text editors. It is especially handy for removing unwanted CSS when copying and pasting from Word. sanitize-html allows you to specify the tags you want to permit, and the permitted attributes for each of those
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - WebAppPentestGuidelines/WebAppPentestGuidelines: Webアプリケーション脆弱性診断ガイドライン
フロントエンドエンジニアのためのセキュリティ対策 ~XSS編~ / #frontkansai 2019
nodebestpractices/sections/security at master · goldbergyoni/nodebestpractices
これからのフロントエンドセキュリティ
84% of all websites are impacted by jQuery XSS vulnerabilities | Snyk
Renamed window.TrustedTypes to window.trustedTypes by koto · Pull Request #205 · w3c/trusted-types
DOM Based XSSの自動検出の話
CODE BLUE の記事一覧 | DevelopersIO
https://research.google.com/pubs/archive/45542.pdf