blog — research

Co znajduję, opisuję

Analizy CVE, metodologie OWASP i podstawy pentestingu — z perspektywy praktyka.

CVE · RCE12 min

CVE-2026-XXXXXX — Remote Code Execution w Dolibarr ERP/CRM (dol_eval sandbox bypass)

Niekompletny sandbox w dol_eval_standard() pozwala administratorowi na RCE przez computed extrafield — trzy obejścia filtra. CVSS 3.1 9.1 CRITICAL.

czytaj →
CVE · BAC / XSS10 min

CVE-2026-105090 — Broken Access Control / Stored XSS w Formbricks (Custom Head Scripts)

Edytor (Read & write) może ustawić Custom Head Scripts ankiety — zdolność zarezerwowaną dla roli Manage — i wykonać kod w sesji administratora. Self-hosted. CVSS 4.0 5.1 MEDIUM.

czytaj →
CVE · XSS7 min

CVE-2026-38441 — Persistent XSS w Zextras Carbonio WebMail (Print)

Nazwy uczestników (From, To, CC, BCC, Reply-To) nie są escapowane w szablonie wydruku, a okno Print nie ma CSP. CVSS 8.1 HIGH.

czytaj →
CVE · SQLi12 min

CVE-2026-33944 — SQL Injection w Dolibarr ERP/CRM

Parametr localtax1_value trafia do zapytania UPDATE bez sanityzacji — pełna eksfiltracja bazy.

czytaj →
CVE · XSS8 min

CVE-2022-1438 — Persistent XSS w Keycloak

Brak walidacji server-side pola username umożliwia XSS podczas impersonacji.

czytaj →
OWASP ASVS8 min

Metodologia OWASP ASVS w testach aplikacji webowych

Trzy poziomy weryfikacji, praktyczne przykłady i case study z pentestów.

czytaj →
OWASP Top 108 min

OWASP Top 10 2025 — nowe zagrożenia

Jak nowe kategorie zagrożeń wpłyną na metodologie testowania aplikacji.

czytaj →
Podstawy6 min

Czym są testy penetracyjne?

Rodzaje pentestów (black/gray/white-box) i dlaczego są niezbędne.

czytaj →
Socjotechnika · AI6 min

AI-phishing — jak AI zmienia zagrożenia

Deepfake, personalizowane ataki i rola kampanii phishingowych w obronie.

czytaj →