Baza Wiedzy
Poznaj najnowsze wektory ataków, trendy w cyberbezpieczeństwie i dobre praktyki tworzenia bezpiecznego oprogramowania.
Wszystkie artykuły (12)
Jak podszyłem się pod administratora Interii? Analiza podatności SPF Bypass / DMARC Misconfiguration
Podczas rutynowego researchu natknęliśmy się na poważną lukę w konfiguracji SPF Interia.pl, umożliwiającą wysyłanie sfałszowanych e-maili omijających weryfikację nadawcy.
Marcin Motwicki·26 marca 2026
Emulacja APT według MITRE ATT&CK: dobór grupy i technik, pomiar wykryć
Jak zbudować emulację APT na MITRE ATT&CK v19: grupa z raportów CERT Polska i CSIRT GOV, techniki z profili, scenariusze TIBER-EU i pomiar wykryć technika po technice.
Marcin Motwicki·24 września 2026
Ile kosztuje red teaming i ile trwa TLPT? Ceny i terminy w 2026
Ile kosztuje red teaming i TLPT w Polsce i za granicą? Widełki ze źródłami i datami, przetargi, terminy z RTS 2025/1190 i wymogi dla testerów z art. 27 DORA.
Marcin Motwicki
Firmy inwestują w marketing i sprzedaż. A kto chroni to, co te inwestycje mają zwrócić?
Budżety na kampanie są, CRM jest, lejek działa. Problem zaczyna się, gdy firma buduje wzrost na środowisku cyfrowym, którego realnie nie chroni. Spojrzenie na cyberbezpieczeństwo z perspektywy biznesu.
Michał Milewski
Kiedy aplikacja mówi za dużo. Information Exposure w CVAT (Brak CVE)
Brak CVE nie oznacza braku ryzyka. Dwa wektory wycieku wrażliwych danych diagnostycznych w CVAT, od ścieżek systemowych po wewnętrzną architekturę mikroserwisów Nuclio. Klasyczny przypadek CWE-497.
Marcin Motwicki
Zmiana jednej metody HTTP i... wchodzisz jak do siebie. Klasyczny IDOR w CVAT (CVE-2024-47172)
Zmiana metody HTTP z GET na PATCH wystarczyła, aby ominąć kontrolę dostępu w popularnym narzędziu CVAT. Klasyczna podatność IDOR z oficjalnym numerem CVE-2024-47172.
Marcin Motwicki
Kiedy int staje się złośliwym skryptem. Reflected XSS w CVAT (CVE-2024-47064)
Brak walidacji typów danych wejściowych i kodowania wyjściowego pozwolił na wstrzyknięcie złośliwego kodu JavaScript do przeglądarki ofiary. Reflected XSS w CVAT ze scoringiem CVSS 8.1 (High).
Marcin Motwicki
Wypinguj mnie, a powiem Ci kim jesteś. Podwójny IDOR w Webhookach CVAT (CVE-2024-45393)
Przewidywalne identyfikatory i brak autoryzacji na endpointach webhooków w CVAT pozwoliły na kradzież danych i stworzyły ryzyko ataku DoS. Podwójny IDOR z oficjalnym CVE-2024-45393.
Marcin Motwicki
Przepis na katastrofę. Nieuwierzytelnione PHP Object Injection w pluginie Cooked Pro (CVE-2022-3900)
Wtyczka do kulinarnych przepisów + funkcja unserialize() = przepis na katastrofę. Nieuwierzytelnione PHP Object Injection w Cooked Pro z CVSS 9.8 (Critical). CVE-2022-3900.
Marcin Motwicki
Anatomia włamania: Atak ransomware na polski sektor medyczny
Szczegółowa analiza rzeczywistego incydentu ransomware, który sparaliżował sieć szpitalną. Od wektora wejścia po pełną remediację - krok po kroku.
Marcin Motwicki
Jak zabezpieczyć API przed atakami? Praktyczny przewodnik
W erze mikroserwisów API jest kręgosłupem nowoczesnego oprogramowania. Poznaj najważniejsze praktyki zabezpieczania interfejsów programistycznych przed atakami.
Marcin Motwicki
NIS2: co to jest i co musi zrobić Twoja firma
Czym jest dyrektywa NIS2, jak wdraża ją polska ustawa o KSC i co z tego wynika dla firmy: obowiązki, zgłaszanie incydentów, terminy do 2028 r. i kary.
Marcin Motwicki