🧑‍💻 Пост для тех, кто занимается программированием и любит придумывать небанальные решения даже для простых задач

На киберфестивале Positive Hack Days 2 мы проведем олимпиаду по программированию участие в которой смогут принять все желающие. Состязание пройдет 25 мая. Вас ждут задания разного уровня сложности, которые подойдут и новичкам, и гуру разработки. Темы тоже самые разнообразные: линейный и двоичный поиск, сортировки, линейные структуры данных, графы и многое другое.

Участвовать можно в онлайн- и офлайн-формате. Если хотите потренироваться, присоединяйтесь к пробным «забегам», которые пройдут онлайн 14 и 16 мая.

Ищите подробности на сайте и подавайте заявку до конца дня 23 мая, если хотите проверить собственные силы, зарядиться драйвом и показать все, на что способны.

😉 Удачи и помните: удовольствие от участия здесь точно важнее победы.

@Positive_Technologies
#PHD2

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-32982, обнаруженная в фреймворке litestar в версиях от 2.0.0 до 2.8.3, приводит к Path Traversal. Проблема заключалась в возможности злоумышленника использовать недостатки обхода пути, обеспечивая несанкционированный доступ к конфиденциальным файлам за пределами назначенных каталогов. В исправлении была добавлена нормализация получаемых путей с помощью os.path.normpath() и последующая проверка с установленным статическим значением директории.

🐛 CVE-2024-34347, выявленная в hoppscotch в версиях от 0.5.0 до 0.8.0, приводит к Command Injection. Уязвимость обусловлена возможностью злоумышленника использовать открытые ссылки на объект, чтобы выйти из песочницы и выполнить произвольные системные команды. В исправлении была добавлена поддержка библиотеки isolated-vm, которая позволяет создавать более защищенные изолированные среды для выполнения скриптов.

🐛 CVE-2024-32980, обнаруженная в Spin в версиях до 2.4.3, приводит к Externally Controlled Reference to a Resource in Another Sphere. Проблема заключалась в возможности злоумышленника влиять на формирование URL-адреса запроса через заголовок Host входящего http-запроса. В исправлении было добавлена скорректирована функция set_req_uri(), в которой исключили формирование URL-адреса на основе Host заголовка.

🐛 CVE-2024-29889, выявленная в glpi в версии 10.0.10, приводит к SQL Injection. Уязвимость обусловлена возможностью аутентифицированного пользователя воспользоваться уязвимостью SQL-инъекции в функциональной возможности поиска, чтобы изменить данные учетной записи другого пользователя и получить над ними контроль. В исправлении была добавлена санитизация значений с помощью функции Sanitizer::sanitize().

🐛 CVE-2024-34351, обнаруженная в NextJS в версии с 13.4 до 14.1.1, приводит к Server-Side Request Forgery (SSRF). Проблема заключалась в возможности злоумышленника перенаправлять запросы на стороне сервера на навязанные URL-адреса. В исправлении был изменен порядок определения адреса хоста, в приоритете стало использоваться значение из настроек среды окружения. Описание проблемы, руководство по обновлению отражены в security advisory. В статье от специалистов Assetnote содержится информация об уязвимости CVE-2024-34351.

🕚 Через час начнется тренировочная сессия

Сегодня в 11:00 ждем вас на последней тренировочной сессии перед олимпиадой. Ссылки на запись и задачи мы добавим в закрепленное сообщение.

До встречи в Толке 😉