Reflected XSS — лидер среди уязвимостей в веб-приложениях

Reflected XSS — лидер среди уязвимостей в веб-приложениях

Reflected XSS — лидер среди уязвимостей в веб-приложениях

Специалисты Netsparker провели исследование безопасности веб-приложений, в ходе которого были просканированы тысячи приложений и веб-сайтов. Особое внимание было уделено количеству и популярности отдельных уязвимостей, которые затрагивают популярные платформы.

Наиболее распространенной уязвимостью, обнаруженной в веб-приложениях с открытым исходным кодом, оказалась Reflected XSS. Она составляет 79 % от общего числа зарегистрированных уязвимостей.

К слову, уязвимости межсайтового скриптинга занимают седьмую строчку в списке топ-10 от проекта OWASP.

Сколько веб-приложений просканировали специалисты Netsparker:

  • Общее количество просканированных приложений составило 154.
  • Наиболее популярные фреймворки или языки, на которых были разработаны эти приложения: PHP (124), .NET (14) и Java (10).
  • Наиболее популярные сервера базы данных, используемые этими приложениями: MySQL (86), Microsoft SQL Server (13).

А вот такие результаты получили исследователи:

  • Количество уязвимых веб-приложений составило 59. Это более 38 % всех протестированных веб-приложений.
  • Общее количество уязвимостей, обнаруженных Netsparker на этих сайтах с открытым исходным кодом, составило 346.
  • Из 124 отсканированных веб-приложений PHP 53 оказались уязвимы (почти 43 %).
  • Из 14 веб-приложений .NET уязвимы были 4 — 28 %.
  • 10 протестированных веб-приложений Java — только одно уязвимо. Это 10 %.

Специалисты Netsparker привели таблицу, в которой отражены типы уязвимостей, количество их обнаружений, а также степень их опасности:

Около 88 % зафиксированных уязвимостей были серьезного или критического уровня опасности.

Исследователи также предоставили статистику самых ненадежных с точки зрения безопасности языков разработки:

  • 43% отсканированных веб-приложений PHP были уязвимы.
  • 28% отсканированных веб-приложений .NET были уязвимы.
  • 10% проверенных веб-приложений Java были уязвимы.

С полным отчетом Netsparker можно ознакомиться по этой ссылке.

ARinteg представила Мастер ПДн для подготовки компаний к проверкам

Компания ARinteg представила новое решение «Мастер ПДн» для автоматизации процессов, связанных с обработкой и защитой персональных данных. Тема ПДн остаётся одной из самых болезненных для бизнеса: утечки продолжаются, а штрафы за нарушения с мая 2025 года заметно выросли.

Пока рынок только адаптируется к новым требованиям, но во второй половине 2026 года ситуация может стать жёстче, особенно если регуляторы начнут активнее применять новые санкции.

«Мастер ПДн» предназначен для подготовки документов, необходимых при обработке персональных данных. Решение работает с разными системами кадрового учёта и помогает выстроить документацию вокруг процессов обработки ПДн — именно такой подход требуется регулятором.

По словам заместителя технического директора по консалтингу и аудиту ARinteg Олега Нестеровского, компаниям важно не просто формально подготовить документы, а собрать доказательную базу того, что они выполнили требования закона по защите персональных данных.

Новый продукт стал развитием уже существующего у ARinteg решения — модуля УПДн, совместимого с 1С:ЗУП. «Мастер ПДн» расширяет его возможности и позволяет автоматически формировать номенклатуру согласий для каждого субъекта ПДн с учётом целей обработки.

Также решение генерирует набор согласий для сотрудников в зависимости от их должностных обязанностей: на обработку, передачу и распространение персональных данных. Кроме того, с его помощью можно подготовить организационно-распорядительные документы с учётом последних изменений в законодательстве.

Среди основных функций «Мастера ПДн» — учёт процессов обработки персональных данных, ведение перечня обрабатываемых ПДн, определение уровней защищённости ИСПДн, а также подготовка документов по обработке и защите данных.

В ARinteg заявляют, что решение может сократить время подготовки регламентной документации до 90%. Для компаний это означает меньше ручной работы для юристов, кадровиков и специалистов по информационной безопасности при подготовке к проверкам регуляторов.

RSS: Новости на портале Anti-Malware.ru