OffSequence1d ago
CVE-2026-9677: HIGH severity stored XSS in Shariff for WordPress (<=1.0.11). Unsanitized shariff_infourl allows high privilege users to inject persistent scripts — risk increases in multisite setups. Restrict admin access. https://radar.offseq.com/threat/cve-2026-9677-cwe-79-cross-site-scripting-xss-in-s-101a28f25d1f6f06 #OffSeq #WordPress #XSS #Infosec
thecybersecguru3d ago

🚨 Three Gitea/Gogs vulnerabilities just dropped — and one is a CVSS 9.8 authentication bypass.

If you self-host Gitea or Gogs, this is not a “patch later” situation:

⚠️ CVE-2026-20896 — Gitea Docker auth bypass
Anyone can impersonate any user with one HTTP header: `X-WEBAUTH-USER: admin`

⚠️ CVE-2026-52807 — Stored DOM XSS
A malicious milestone name can survive escaping and execute through Semantic UI.

⚠️ CVE-2026-22874 — Webhook SSRF
Gitea webhooks can become a path to AWS IMDS, cloud credentials, S3, Secrets Manager, ECR, and full cloud privilege abuse.

Self-hosted Git platforms hold source code, CI/CD secrets, deploy keys, webhooks, tokens, and internal infrastructure access.

Your code. Your secrets. Their access.

Upgrade now:
Gitea 1.26.3+
Gogs 0.14.3+

Full technical breakdown 👇
https://thecybersecguru.com/news/cve-2026-20896-gitea-authentication-bypass-dom-xss-ssrf/

#Gitea #Gogs #CyberSecurity #InfoSec #AppSec #DevSecOps #CVE #SSRF #XSS #Docker #CloudSecurity #AWS #IAM #AuthenticationBypass #Vulnerability #SelfHosted #Security

OffSequence4d ago
CVE-2026-54158: CRITICAL XSS in SiYuan (<3.7.0) allows persistent JS injection; on Electron clients, can escalate to RCE. Upgrade to 3.7.0+ ASAP. No active exploits reported. https://radar.offseq.com/threat/cve-2026-54158-cwe-79-improper-neutralization-of-i-cee0850f8d1e1264 #OffSeq #XSS #CVE202654158 #SiYuan
OffSequence4d ago
CVE-2026-50551: SiYuan (<3.7.0) suffers CRITICAL stored XSS in Attribute View, enabling RCE via Electron client. Upgrade to v3.7.0+ to mitigate. No workaround available. Details: https://radar.offseq.com/threat/cve-2026-50551-cwe-79-improper-neutralization-of-i-e91ef5b4d83fcdb8 #OffSeq #XSS #SiYuan #Cybersecurity
OffSequence4d ago
CVE-2026-55570: CRITICAL XSS in SiYuan (<3.7.0) enables arbitrary HTML injection. On the desktop client, attackers can escalate to OS command execution due to nodeIntegration. Upgrade to 3.7.0+ now! https://radar.offseq.com/threat/cve-2026-55570-cwe-79-improper-neutralization-of-i-34ddb800ffc94efb #OffSeq #XSS #Vuln #SiYuan
7ASecurity4d ago

🔍 Iframes aren't the problem.

Blind trust between frames is.

Learn how attackers abuse postMessage, weak sandboxing, and embedded content flows.

👉 https://7asecurity.com/blog/2026/06/iframe-xss-security/

#AppSec #WebSecurity #XSS

Iframe XSS: postMessage, CSP, Sandboxing, & Clickjacking

Learn how iframe XSS happens through embedded content, srcdoc, postMessage, unsafe DOM sinks, and weak trust boundaries. Recuse security risks now.

7ASecurity Blog
7ASecurity4d ago

🔍 Iframes aren't the problem.

Blind trust between frames is.

Learn how attackers abuse postMessage, weak sandboxing, and embedded content flows.

👉 https://7asecurity.com/blog/2026/06/iframe-xss-security/

#AppSec #WebSecurity #XSS

Iframe XSS: postMessage, CSP, Sandboxing, & Clickjacking

Learn how iframe XSS happens through embedded content, srcdoc, postMessage, unsafe DOM sinks, and weak trust boundaries. Recuse security risks now.

7ASecurity Blog
iX Magazin5d ago

iX-Workshop: OWASP Top 10 – Sicherheitsrisiken für Webanwendungen verstehen

Lernen Sie die wichtigsten Sicherheitslücken in Webanwendungen kennen und erfahren Sie, wie Sie sich erfolgreich schützen können.

https://www.heise.de/news/iX-Workshop-OWASP-Top-10-Sicherheitsrisiken-fuer-Webanwendungen-verstehen-11331962.html?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

#XSS #CSRF #IT #iXWorkshops #OWASP #news

iX-Workshop: OWASP Top 10 – Sicherheitsrisiken für Webanwendungen verstehen

Lernen Sie die wichtigsten Sicherheitslücken in Webanwendungen kennen und erfahren Sie, wie Sie sich erfolgreich schützen können.

heise online
OffSequence5d ago
immich-app suffers CRITICAL reflected XSS (CVE-2026-53662) in /auth/login (commits 4ffa26c9 – 4eb1003). Exploitation = persistent account takeover via API key minting. Update to commit 4eb1003 or later. https://radar.offseq.com/threat/cve-2026-53662-cwe-79-improper-neutralization-of-i-088d09407e2bf58b #OffSeq #CVE202653662 #XSS #infosec
Habr5d ago

Тестирование поиска и фильтров: чек-лист + как автоматизировать каждый пункт на Playwright

Поиск кажется простым: поле ввода, запрос, список результатов. Но именно поэтому его тестируют поверхностно — «ввёл слово, что-то нашлось, ок». А реальные баги живут в граничных запросах, в тайминге (debounce, гонки), в пустых и ошибочных состояниях и в фильтрах. Ниже — двухслойный разбор: сначала что проверять , потом как это автоматизировать , с реальными сниппетами на TypeScript. Идея переносится на любой UI-фреймворк, но Playwright особенно удобен из-за встроенного перехвата сети.

https://habr.com/ru/articles/1050904/

#Playwright #автоматизация_тестирования #e2e #тестирование_поиска #QA #фильтры #debounce #XSS #чеклист #endtoend

Тестирование поиска и фильтров: чек-лист + как автоматизировать каждый пункт на Playwright

Поиск и фильтры есть почти в каждом продукте, и баги в них одни и те же из проекта в проект: запрос на каждую букву, гонка запросов, белый экран вместо «ничего не найдено», фильтры, которые слетают на...

Хабр