14 postów z tagiem "Web Security"

Blokady i partycjonowanie ciasteczek third-party paraliżują działanie krytycznych aplikacji biznesowych osadzonych w ramkach iframe — systemów płatności, czatów, widgetów CRM. Mechanizmem, który w 2026 roku rozwiązuje ten problem w sposób akceptowany przez wszystkie trzy silniki przeglądarek, jest CHIPS (Cookies Having Independent Partitioned State): podwójnie kluczowane kontenery pamięci, izolowane osobno dla każdej witryny najwyższego poziomu. Poniżej: dlaczego wygaszenie Privacy Sandbox go nie dotyczy, gdzie Safari nadal nie honoruje atrybutu Partitioned, i jak wygląda kompletna konfiguracja na przykładzie systemu contact center.

Powszechnie powtarzana zasada „brak atrybutu SameSite oznacza Lax" jest prawdziwa tylko w Chromium. Firefox nigdy nie wdrożył tego domyślnego zachowania w kanale stabilnym, Safari blokuje ciasteczka cross-site niezależnie od deklaracji, a dokument, na który wszyscy się powołują — „RFC 6265bis" — po piętnastu latach wciąż jest Internet-Draftem bez numeru RFC. Poniżej: co przeglądarki naprawdę robią z ciasteczkami we wrześniu 2026, gdzie mechanizm Lax+POST cicho maskuje błędy konfiguracji, dlaczego limit 400 dni jest mniej istotny niż siedmiodniowy cap Safari, i jak wygląda poprawna konfiguracja z prefiksami __Host- oraz atrybutem Partitioned.

Nagłówek X-Forwarded-For nie jest źródłem prawdy o adresie IP klienta — jest zwykłym polem HTTP, które każdy może wpisać ręcznie w curl. Cała jego wiarygodność bierze się wyłącznie z tego, że aplikacja wie, którym proxy ufa i ile ich stoi przed nią. Aplikacja, która bierze pierwszy adres z lewej strony listy, właśnie oddała atakującemu pilota do rate limitingu, geolokalizacji i list dostępu opartych o IP. Poniżej: mechanika nagłówka, konkretne wektory nadużyć i poprawna konfiguracja w Nginx, Apache, AWS ALB, Azure Application Gateway oraz Express.

Wyobraź sobie, że masz w domu sejf z cennymi danymi. Tradycyjne wystawianie aplikacji do internetu to jak wywieszenie na drzwiach wejściowych wielkiego, neonowego szyldu z napisem: "Sejf jest tutaj, wystarczy złamać zamek". Internet to nie jest przyjazne miejsce. Zanim zdążysz wypić kawę po uruchomieniu nowego serwera VPS, dziesiątki zautomatyzowanych botów z całego świata już skanują jego otwarte porty w poszukiwaniu luk.

Zanim przejdziemy do kodu, wyjaśnijmy różnice między wersjami protokołu HTTP tak, aby zrozumiał to każdy – od junior frontendowca po project managera. Różnice te mają kolosalne znaczenie dla bezpieczeństwa.

CORS to mechanizm oparty na nagłówkach HTTP, który pozwala serwerowi zadeklarować, czy skrypt z innej domeny może legalnie odczytać jego odpowiedź, obchodząc restrykcje SOP (Same-Origin Policy). W 2026 roku sam błędny nagłówek CORS nie wystarczy do przejęcia sesji, ponieważ nowoczesne przeglądarki domyślnie ucinają ciasteczka w żądaniach cross-site za sprawą mechanizmu SameSite=Lax. Jakie są więc realne zagrożenia i jak się przed nimi bronić?

Testy bezpieczeństwa to nie (tylko) bezmyślne wpisywanie <script>alert(1)</script> w każdym polu formularza. Aby znaleźć krytyczne błędy, takie jak IDOR czy przejęcie konta, musisz działać według planu.

Wielu CISO wciąż tkwi w pętli: Phishing test -> Pracownik klika -> Szkolenie -> Reprymenda. To strategia typu Legacy, która w dobie GenAI i Deepfake’ów jest nie tylko nieskuteczna, ale wręcz niebezpieczna.

Pegasus to zaawansowany spyware opracowany przez izraelską grupę NSO, która została niedawno przejęta przez inwestorów amerykańskich. Oprogramowanie kosztuje 20 000 USD za telefon i jest uważane za jeden z najbardziej zaawansowanych narzędzi szpiegowskich na świecie.[^1]

Setki kamer bezpieczeństwa LG Innotek LNV5110R są narażone na zdalne ataki hakerskie z powodu niepłatanej luki umożliwiającej nieautoryzowane zdalne wykonywanie kodu.

Szczegóły zagrożenia​

Amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ujawniła w czwartek istnienie krytycznej luki bezpieczeństwa w kamerach LG Innotek model LNV5110R[^1]. Podatność, oznaczona jako CVE-2025-7742, otrzymała ocenę "wysokiej ważności" i pozwala napastnikom na pominięcie uwierzytelniania w celu uzyskania dostępu administracyjnego do urządzenia[^1][^2].