Практический справочник для бизнеса

Уязвимости сайта: как понять риск и защитить бизнес

Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.

Подключить защиту сайта Инструкции по платформам

Обновлено: 6 ноября 2026. Каждая статья проверяется по первоисточникам.

Разборы уязвимостей

Показаны 61–72 из 145

CVE-2025-4207

PostgreSQL GB18030: чтение за границей при проверке текста

CVE-2025-4207 — однобайтовое чтение за пределами выделения при валидации некорректного текста GB18030. Обновите PostgreSQL server и libpq: при определённых платформах ввод может вызвать временный отказ в обслуживании.

Администраторам PostgreSQL и разработчикам приложений, принимающих текстовые данные через сервер или libpq.

Читать разбор

CVE-2025-8714

PostgreSQL pg_dump: недоверенные данные выполняют команды при restore

CVE-2025-8714 требует вредоносного суперпользователя исходного PostgreSQL-сервера и выполнения подготовленного dump через psql. Это не обычная удалённая RCE: обновите клиентские утилиты и принимайте дампы только из доверенных источников.

Администраторам PostgreSQL, DBA и операторам миграций, которые принимают дампы от внешних или менее доверенных владельцев серверов.

Читать разбор

CVE-2025-8715

PostgreSQL pg_dump: перевод строки в имени объекта и инъекция при restore

CVE-2025-8715 затрагивает PostgreSQL до исправлений 17.6/16.10/15.14/14.19/13.22; ветки до 11.20 не затронуты. Имя объекта с переводом строки в dump может повлиять и на клиента psql, и на superuser целевого сервера при восстановлении.

DBA и администраторам, выполняющим pg_dump, pg_restore или pg_upgrade и восстанавливающим данные из потенциально недоверенных источников.

Читать разбор

CVE-2024-38816

Spring Framework WebMvc.fn/WebFlux.fn: обход пути к статическому ресурсу

CVE-2024-38816 касается функциональных Spring WebMvc.fn или WebFlux.fn при явной раздаче статических ресурсов из FileSystemResource. Обновите Spring и проверьте исключения: Spring Security Firewall, Tomcat и Jetty блокируют описанный сценарий.

Разработчикам Spring-приложений, использующих функциональные маршрутизаторы и файловые статические ресурсы.

Читать разбор

CVE-2025-1974

Ingress-NGINX: удалённое выполнение кода через admission-контроллер

CVE-2025-1974 затрагивает ingress-nginx с включённым Validating Admission Controller: доступный из сети Pod запрос может использовать конфигурационную инъекцию и получить опасный доступ к кластеру. Проверьте наличие ingress-nginx, обновите контроллер и временно отключите admission-функцию только по официальной процедуре.

Администраторам Kubernetes-кластеров, DevOps/SRE и владельцам платформ, использующим ingress-nginx с admission webhooks.

Читать разбор

CVE-2025-1094

PostgreSQL: SQL-инъекция через quoting API при некорректной кодировке

CVE-2025-1094 затрагивает функции quoting в libpq и некоторые утилиты PostgreSQL при специальных сочетаниях кодировок и способов передачи данных. Проверьте версии клиента и сервера, сценарии вызова PQescape* и использование psql: обновление до исправленного minor-релиза устраняет проблему, но не требует считать любую SQL-строку уязвимой автоматически.

Администраторам PostgreSQL, разработчикам приложений на libpq, владельцам интеграций с psql и сопровождающим образов/пакетов PostgreSQL.

Читать разбор

CVE-2025-55182

React Server Components: критическое выполнение кода без аутентификации

CVE-2025-55182 затрагивает уязвимые пакеты React Server Components и может привести к удалённому выполнению кода без аутентификации через специально сформированный запрос к Server Function endpoint. Проверьте lockfile и транзитивные зависимости, особенно в Next.js и других RSC-совместимых сборках, затем обновите затронутые пакеты до исправленных версий.

Разработчикам и DevSecOps-командам приложений на Next.js, React Router, Waku, Redwood и других сборках с React Server Components.

Читать разбор

CVE-2026-112937

filelock: риск удаления соседних данных в ReadWriteLock — CVE-2026-112937

Проверьте Python-пакет filelock 4.1.0–4.2.0, если приложение использует ReadWriteLock или AsyncReadWriteLock в уязвимых условиях на POSIX-системе. Обновитесь как минимум до исправления 4.2.1; на 27 октября 2026 года GitHub показывает 4.2.4 как последний релиз.

Разработчикам Python-приложений и администраторам серверов, контейнеров и macOS-систем, где используется пакет filelock. Особенно важно проверить приложения с несколькими пользователями или процессами, если они применяют ReadWriteLock либо AsyncReadWriteLock и размещают базу блокировки в общей директории.

Читать разбор

CVE-2021-23214

PostgreSQL CVE-2021-23214: MITM-инъекция SQL при подключении

При настройке cert или trust с обязательным клиентским сертификатом сервер мог обработать незашифрованные байты посредника и принять произвольные SQL-запросы при установлении соединения. Уязвимость затрагивала ветки 9.6–14 до исправлений ноября 2021 года.

Администраторам PostgreSQL, использующим cert authentication либо trust с обязательным client certificate, и командам, отвечающим за сетевую конфигурацию баз.

Читать разбор

CVE-2021-23222

PostgreSQL CVE-2021-23222: MITM-подмена ответов libpq

Уязвимая libpq могла обработать незашифрованные ответы посредника на первые запросы клиента, даже при TLS и проверке сертификата. Для раскрытия пароля нужны дополнительные условия, включая сервер, уязвимый к CVE-2021-23214; проверьте клиентские библиотеки и сервер.

Разработчикам и администраторам приложений на libpq, а также командам, управляющим PostgreSQL-серверами с клиентской сертификатной аутентификацией.

Читать разбор

CVE-2022-2625

PostgreSQL CVE-2022-2625: подмена объектов скриптом расширения

При сочетании права создавать объекты, установки уязвимого расширения администратором и использования подменённого объекта атакующий мог выполнить код от имени роли-жертвы. PostgreSQL исправил защиту в ядре; отдельные расширения модифицировать не требуется.

Администраторам PostgreSQL 10–14 и владельцам общих баз, где пользователи могут создавать объекты, а администраторы устанавливают расширения.

Читать разбор

CVE-2022-41862

PostgreSQL CVE-2022-41862: libpq раскрывала память при GSS

Изменённый сервер мог передать незавершённую строку при установлении Kerberos/GSS-шифрования и вызвать чтение неинициализированных байтов в libpq. Риск требует Kerberos credential cache и неотключённого gssencmode; обновите именно клиентскую библиотеку.

Командам, сопровождающим приложения на libpq и подключающимся к PostgreSQL с GSS/Kerberos encryption.

Читать разбор

Как пользоваться справочником

Сначала подтвердите стек и версии. Наличие WordPress, Linux или конкретной библиотеки само по себе не означает, что система уязвима.
Сверьте рекомендации с поставщиком. Дистрибутивы и хостинги могут выпускать backport-исправления, не меняя базовый номер версии.
Снизьте шанс автоматизированной атаки. BotProtection фильтрует подозрительные запросы до сайта, поэтому ботам сложнее добраться до уязвимого компонента. Это дополнительный слой защиты, а не исправление самой уязвимости.

Каждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.

Не дайте ботам добраться до уязвимого сайта

BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.

Смотреть аналитику бесплатно