Luka Bezpieczeństwa

Badacze z Nebula Security odkryli lukę w silniku JIT przeglądarki Firefox (CVE-2026-10702), która pozwala na zdalne wykonanie kodu poprzez samo odwiedzenie spreparowanej strony internetowej. Ten sam błąd mógł być wykorzystany do kompromitacji przeglądarki Tor, ponieważ korzysta ona z podatnej wersji Firefoksa. Chociaż Mozilla załatała problem w aktualizacji Firefoksa 151.0.3, dotknięte wersje Tor Browser nie zostały precyzyjnie zidentyfikowane, a badacze udostępnili materiały eksploatacyjne, demonstrując jak luka może prowadzić do przejęcia kontroli nad systemem, nawet na urządzeniach mobilnych z Androidem.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze cyberbezpieczeństwa ostrzegają przed ponad 36 tysiącami interfejsów zarządzania Baseboard Management Controller (BMC) dostępnych publicznie w internecie, z czego ponad 24,6 tys. ujawnia hashe uwierzytelniające przed logowaniem z powodu luki CVE-2013-4786 w specyfikacji IPMI v2.0. Luka ta pozwala na pozyskanie hashy i przeprowadzanie ataków offline, a ponad 30% odzyskanych hashy można złamać za pomocą popularnych słowników. Zagrożenie dotyczy nowoczesnych serwerów, w tym tych w centrach danych AI, gdzie skompromitowanie jednego BMC może narazić wiele organizacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto poważną lukę w stosie DHCPv6 OpenWrt (CVE-2026-53921) umożliwiającą nieautoryzowanym atakującym zdalne wykonanie kodu z uprawnieniami roota na podatnych urządzeniach, dzięki przepełnieniu bufora stosu w odhcpd przy użyciu spreparowanych żądań DHCPv6, co wymaga pilnej aktualizacji do wersji 24.10.8 lub 25.12.5.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

JetBrains ostrzega użytkowników wersji TeamCity on-premise o krytycznej luce bezpieczeństwa (CVE-2026-63077, CVSS 9.8), która pozwala nieautoryzowanym atakującym na zdalne wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami procesu serwera TeamCity, omijając mechanizmy uwierzytelniania. Problem został zaadresowany w wersjach 2025.11.7 i 2026.1.3, a także poprzez specjalny plugin bezpieczeństwa dla starszych wersji (od 2017.1+).

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Opublikowano szczegóły dotyczące publicznego exploita pozwalającego na wykonanie kodu w systemie vBulletin przed uwierzytelnieniem, wykorzystującego lukę w funkcji eval(). Choć luka została załatana w czerwcu, a poprawiona wersja 6.2.2 wydana na początku lipca, publiczny exploit pojawił się pod koniec lipca, co zwiększa ryzyko dla niezałatanych forów samo-hostowanych. Eksperci zaznaczają, że choć exploit wymaga jedynie poprawki błędu w kodzie, demonstruje on możliwość zdalnego wykonania kodu poprzez manipulację parametrami żądania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto lukę typu ‘sandbox escape’ w platformie automatyzacji n8n, która pozwala uwierzytelnionym edytorom przepływów pracy na wykonanie poleceń systemowych na serwerze. Problem dotyczy wersji <2.31.5 i >=2.32.0,<2.32.1, a poprawki wprowadzono w wersjach 2.31.5 i 2.32.1. Wykorzystanie tej luki może prowadzić do ujawnienia kluczy szyfrujących, deszyfracji danych uwierzytelniających oraz uzyskania dostępu do połączonych baz danych i usług.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Niezabezpieczona luka w GitLab, która pozwala uwierzytelnionym użytkownikom na zdalne wykonanie kodu (RCE) jako użytkownik ‘git’, została publicznie udostępniona przez badacza z depthfirst. Luka, polegająca na błędach w parserze JSON Oj, umożliwia atakującemu wykonanie poleceń poprzez przesłanie spreparowanego notatnika Jupyter i wywołanie zrzutu wskaźnika sterty. Choć GitLab załatał lukę sześć tygodni wcześniej, nie sklasyfikował jej jako krytyczną, co mogło opóźnić świadomość administratorów o zagrożeniu, a podatne są wszystkie wersje, które nie zostały zaktualizowane do najnowszych łatek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Firma Check Point wydała aktualizacje bezpieczeństwa łatające krytyczną lukę w zabezpieczeniach SmartConsole, śledzoną jako CVE-2026-16232, która jest aktywnie wykorzystywana przez atakujących i pozwala na uzyskanie pełnych uprawnień administratora poprzez obejście uwierzytelniania. Łatka rozwiązuje również inne, mniej krytyczne podatności, a dotyczy szeregu wersji produktów Security Management i Multi-Domain Management; zalecane są pilne działania naprawcze oraz ograniczenie dostępu do zaufanych adresów IP, a także wdrożenie Jumbo hotfix z 22 lipca.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto poważną lukę typu LPE (Local Privilege Escalation) w narzędziu snap-confine używanym w systemie Ubuntu, która pozwala nieuprawnionemu użytkownikowi na uzyskanie dostępu roota i pełnej kontroli nad systemem. Flaw, oznaczony jako CVE-2026-8933, dotyczy domyślnych instalacji Ubuntu Desktop 24.04, 25.10 i 26.04, a jego przyczyną jest warunek wyścigu wprowadzony podczas inicjalizacji piaskownicy, umożliwiający atakującemu manipulację plikami tymczasowymi i wykonanie złośliwego kodu z uprawnieniami roota, na przykład poprzez wstrzyknięcie złośliwego pliku .rules do katalogu /run/udev/rules.d/

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa ujawnili szczegóły niezałatanej luki w rozszerzeniu Adobe Acrobat dla Chrome, z której korzysta ponad 314 milionów użytkowników. Po cichu przechwytywano dane z WhatsApp Web, wykorzystując podcode HermeticReader (CVE-2026-48294) typu Universal Cross-Site Scripting (UXSS), która umożliwiała obchodzenie polityki same-origin przeglądarki i dostęp do danych powiązanych z sesją ofiary. Atak wymagał jedynie interakcji użytkownika, takiej jak odwiedzenie złośliwie spreparowanego adresu URL lub strony internetowej, co uruchamiało podatny kod rozszerzenia, pozwalając na kradzież danych czatów, nazw kontaktów i wiadomości.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Oprogramowanie Windmill, platforma dla deweloperów, padło ofiarą aktywnie wykorzystywanej luki CVE-2026-29059, która pozwala na odczyt dowolnych plików z serwera bez uwierzytelnienia. Atakujący mogą wykorzystać sekwencje ‘../’ do uzyskania dostępu do wrażliwych danych, w tym zmiennej środowiskowej SUPERADMIN_SECRET, która umożliwia przejęcie kontroli nad kontem administratora. Luka została załatana w wersji Windmill 1.603.3, ale zidentyfikowano około 170 podatnych systemów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wykryto poważną lukę w AWS Kiro, narzędziu programistycznym opartym na sztucznej inteligencji, która umożliwiała zdalne wykonanie kodu na maszynie dewelopera bez jego wiedzy. Złośliwy kod, ukryty na stronie internetowej, mógł zostać wykorzystany przez atakującego do nadpisania pliku konfiguracyjnego Kiro, co prowadziło do automatycznego wykonania arbitralnego polecenia z uprawnieniami użytkownika. Chociaż AWS wydał już poprawkę, poprzednie próby zabezpieczeń okazywały się nieskuteczne, podkreślając potrzebę silniejszych mechanizmów kontroli platformy nad działaniami agentów AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Zagrożenie cybernetyczne wykorzystuje krytyczną lukę bezpieczeństwa w platformie AI ServiceNow, umożliwiającą nieautoryzowane wykonanie kodu. Wirtualna ucieczka z piaskownicy (CVE-2026-6875) pozwala atakującym na całkowite przejęcie instancji ServiceNow i połączonych serwerów proxy, choć ServiceNow twierdzi, że nie zaobserwowano jeszcze ataków na hostowane przez siebie instancje, jednocześnie zachęcając do pilnego stosowania łatek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto nową lukę bezpieczeństwa w programie 7-Zip (CVE-2026-14266), która pozwala atakującemu na wykonanie kodu na komputerze ofiary poprzez otwarcie spreparowanego archiwum XZ. Problem polega na przepełnieniu bufora na stercie podczas przetwarzania danych skompresowanych w formacie XZ, a poprawka została udostępniona w wersji 26.02. Luka, oceniona jako “Wysoka” (CVSS 7.0), wymaga lokalnego wektora ataku i interakcji użytkownika, co utrudnia jej masowe wykorzystanie, jednak zalecana jest natychmiastowa aktualizacja programu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto krytyczną lukę w Nginx (CVE-2026-42533) pozwalającą na zdalne wykonanie kodu poprzez przepełnienie bufora na stercie przy użyciu spreparowanych żądań HTTP, która dotyka wersje od 0.9.6 do 1.31.2. Problem występuje w silniku skryptowym Nginx w specyficznych konfiguracjach z mapowaniem opartym na wyrażeniach regularnych i może prowadzić do awarii serwera lub zdalnego wykonania kodu, jeśli mechanizmy bezpieczeństwa takie jak ASLR są wyłączone lub mogą zostać ominięte. Naprawę zapewniają aktualizacje Nginx 1.30.4 (stable), 1.31.3 (mainline) oraz NGINX Plus 37.0.3.1, a tymczasową metodą łagodzącą jest przełączenie map regex na nazwane przechwycenia, choć niektórzy badacze wskazują, że ta metoda może nie być w pełni bezpieczna.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Nieznany aktor zagrożenia wykorzystał podatności typu zero-day w urządzeniach VPN SonicWall Secure Mobile Access (SMA) serii 1000, uzyskując dostęp roota na długo przed publicznym ujawnieniem luk. Firma Volexity zidentyfikowała aktywność pod pseudonimem UTA0533, wskazując na łańcuch exploitów obejmujący m.in. obejście uwierzytelniania CVE-2026-15409 i eskalację uprawnień CVE-2026-15410, co pozwoliło na wykonanie dowolnych poleceń i przejęcie kontroli nad urządzeniami.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Dwie poważne luki w rdzeniu WordPressa, CVE-2026-63030 (REST API batch-route confusion) i CVE-2026-60137 (SQL injection), połączone pozwalają anonimowym atakującym na zdalne wykonanie kodu (RCE). Problem dotyczy wersji od 6.8 do 7.0.1 i został załatany w wersjach 6.8.6, 6.9.5 i 7.0.2, przy czym WordPress zastosował “wymuszone aktualizacje”. Luka została publicznie opublikowana wraz z działającym dowodem koncepcji, a jej eksploatacja jest możliwa bez uwierzytelnienia i w domyślnych konfiguracjach, chyba że stosowany jest cache obiektów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto lukę “HollowByte” w OpenSSL, która pozwala atakującemu wysyłającemu złośliwie spreparowane 11-bajtowe żądania TLS na zajęcie do 131 KB pamięci serwera na połączenie, która nie zostaje zwolniona aż do restartu procesu. Mimo że OpenSSL wydał poprawkę w czerwcu, zrobił to bez przypisania CVE, publikacji oficjalnego komunikatu ani wpisu w dzienniku zmian, co utrudnia identyfikację i łatanie podatnych systemów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryta luka w robotach sprzątających Shark RV2320EDUS pozwala atakującym na przejęcie pełnej kontroli nad innymi urządzeniami tej marki w tym samym regionie AWS, umożliwiając zdalny podgląd z kamery, sterowanie ruchem, odczyt mapy domu oraz pozyskanie hasła Wi-Fi w postaci czystego tekstu. Luki tej, która umożliwia wykonanie poleceń root bez konieczności eskalacji uprawnień czy zgadywania haseł, nie załatano od marca, pomimo zgłoszenia przez badacza. Do rozwiązania problemu konieczna jest interwencja po stronie serwera firmy SharkNinja, ponieważ użytkownicy nie mogą samodzielnie zainstalować poprawki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Zoom wydał aktualizacje bezpieczeństwa dla krytycznej luki w systemie Windows (CVE-2026-53412, wynik CVSS 9.8), która pozwala nieautoryzowanym użytkownikom na przejęcie konta poprzez dostęp sieciowy, a także naprawił trzy luki wysokiego ryzyka związane z eskalacją uprawnień poprzez dostęp lokalny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Aplikacja Cursor dla systemu Windows posiada krytyczną lukę, która umożliwia wykonanie dowolnego kodu po otwarciu złośliwie spreparowanego repozytorium. Jeśli w głównym katalogu projektu znajduje się plik o nazwie ‘git.exe’, Cursor uruchamia go bez ostrzeżenia, nadając atakującemu pełne uprawnienia użytkownika. Problem ten, zgłoszony przez firmę Mindgard, wciąż nie został załatany, a jego mechanizm polega na sposobie wyszukiwania przez aplikację pliku wykonywalnego Git.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

SAP wydało aktualizacje bezpieczeństwa obejmujące krytyczną lukę CVE-2026-44747 (CVSS 9.9) w SAP NetWeaver Application Server ABAP, która umożliwia uwierzytelnionemu atakującemu uzyskanie nieautoryzowanego dostępu do danych, ich modyfikację lub spowodowanie niedostępności systemu poprzez błędy w zarządzaniu pamięcią. Naprawiono również dwie inne krytyczne luki: CVE-2026-27690 (CVSS 9.1) w SAP Approuter, pozwalającą na podszywanie się pod żądania HTTP i ataki DoS, oraz CVE-2026-44761 (CVSS 9.1) w SAP Commerce Cloud, wynikającą z użycia domyślnych danych uwierzytelniających w konfiguracjach OAuth 2.0, co umożliwia nieautoryzowanym atakującym odczyt i modyfikację danych. Zaleca się natychmiastowe wdrożenie poprawek i audyt środowisk produkcyjnych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto poważną lukę w rozszerzeniu przeglądarki Claude for Chrome, która pozwala innym, złośliwym wtyczkom na nieautoryzowany dostęp do danych użytkownika, w tym treści e-maili z Gmaila, najnowszego dokumentu Google Docs i wydarzeń z Kalendarza. Problem polega na tym, że mechanizm wyzwalania zadań w Claude nie weryfikuje autentyczności kliknięć, co umożliwia podszywanie się pod użytkownika i uruchamianie zaufanych akcji bez jego wiedzy, zwłaszcza w trybie “Działaj bez pytania”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Zimbra ostrzega przed krytyczną luką bezpieczeństwa w Klasycznym Interfejsie Webowym, umożliwiającą wykonanie dowolnego kodu poprzez specjalnie spreparowane wiadomości e-mail. Problem ten, będący formą ataku typu stored XSS, może prowadzić do przejęcia sesji, kradzieży danych uwierzytelniających i kompromitacji kont, a użytkownicy są zalecani do aktualizacji do wersji 10.1.19.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto krytyczną lukę XRING w bibliotece XQUIC od Alibaby, która pozwala zdalnym klientom na awarię serwerów HTTP/3 przy użyciu legalnego, niewielkiego ruchu QPACK. Brak łatki oznacza ryzyko dla wszystkich serwerów korzystających z tej otwartej biblioteki, w tym dla usług takich jak Tengine, Taobao czy Alipay, a obejście problemu wymaga wyłączenia QPACK lub całej obsługi HTTP/3.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Firma badawcza Coinspect odkryła lukę w zabezpieczeniach niektórych portfeli kryptowalutowych, nazwaną ‘Ill Bloom’, która pozwala atakującym na przejęcie środków poprzez wykorzystanie słabej losowości w generowaniu fraz odzyskiwania. Atakujący wykorzystali tę słabość, kradnąc już ponad 5 milionów dolarów z setek portfeli, głównie starszych lub mniej znanych aplikacji mobilnych i rozszerzeń przeglądarek, podczas gdy portfele sprzętowe i mainstreamowe oprogramowanie pozostają bezpieczne.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto 15-letnią lukę w jądrze Linuksa nazwaną GhostLock (CVE-2026-43499), która pozwala każdemu zalogowanemu użytkownikowi na przejęcie pełnej kontroli nad systemem bez konieczności posiadania specjalnych uprawnień czy dostępu sieciowego; luka ta istniała od 2011 roku i umożliwiała również ucieczkę z kontenerów, a jej działanie polega na wykorzystaniu błędu typu use-after-free w procedurze czyszczenia jądra, co daje możliwość uruchomienia własnego kodu z uprawnieniami roota.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Firma Varonis odkryła poważną lukę w bezpieczeństwie Google Dialogflow CX, nazwaną ‘Rogue Agent’, która mogła pozwolić atakującemu z uprawnieniami do edycji jednego agenta na przejęcie innych agentów w tym samym projekcie Google Cloud. Umożliwiłoby to odczytywanie rozmów, kradzież danych użytkowników i wysyłanie fałszywych wiadomości, choć atak wymagał wcześniejszego dostępu i nie był zdalny. Google wydało już poprawkę, a incydenty wskazują na możliwość obejścia zabezpieczeń sieciowych i dostęp do metadanych instancji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze ds. cyberbezpieczeństwa odkryli i zgłosili krytyczną lukę w izolacji sesji platformy Writer AI, pozwalającą na przejęcie kontroli nad kontami innych organizacji za pomocą jednego kliknięcia, potencjalnie ujawniając prywatne dane, dokumenty i nawet ustawienia administracyjne.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto 16-letnią lukę w KVM Linux, nazwaną ‘Januscape’ (CVE-2026-53359), która pozwala maszynie wirtualnej (guest VM) na ucieczkę do hosta na systemach z procesorami Intel i AMD. Błąd use-after-free w kodzie shadow MMU umożliwia atakującemu potencjalnie wykonanie kodu na poziomie roota hosta, a publiczny proof-of-concept powoduje awarię całego systemu. Problemem jest nieprawidłowe ponowne użycie stron cieniowych pamięci, co prowadzi do uszkodzenia stanu jądra hosta. Luka była obecna od 2010 roku i została załatana w czerwcu 2026 roku.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze odkryli lukę w przeglądarce Opera GX, umożliwiającą złośliwym witrynom ciche instalowanie dodatków (modów) i wykorzystywanie ich do pozyskiwania danych z odwiedzanych stron, w tym adresów e-mail użytkowników. Mimo że błąd został załatany, demonstruje potencjalne ryzyko związane z automatycznym instalowaniem rozszerzeń bez zgody użytkownika.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto krytyczną, niezałataną lukę w Argo CD Repo-Server, która pozwala atakującym na zdalne wykonanie kodu i potencjalne przejęcie pełnej kontroli nad klastrami Kubernetes, o ile mają oni dostęp do wewnętrznego portu komponentu. Synacktiv, odkrywca błędu, zgłosił go osiemnaście miesięcy temu, ale poprawka wciąż nie została udostępniona, co zmusza użytkowników do samodzielnej implementacji izolacji sieciowej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto poważną lukę bezpieczeństwa CVE-2026-8037 (CVSS 9.6) w systemie Progress Kemp LoadMaster, umożliwiającą zdalnemu atakującemu bez uwierzytelnienia wykonanie dowolnego kodu. Odnotowano aktywne próby jej wykorzystania, choć dotychczas zakończone niepowodzeniem, co w połączeniu z dostępnym PoC może nasilić przyszłe ataki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wykryto krytyczną lukę (CVE-2026-8037, CVSS 9.8) w Progress Kemp LoadMaster, która pozwala atakującym bez uwierzytelnienia na wykonanie dowolnych poleceń jako root. Luka, znajdująca się w funkcji escape_quotes(), wynika z błędnego zarządzania pamięcią i braku terminatorów null, co umożliwia wstrzyknięcie i wykonanie złośliwych poleceń poprzez spreparowane żądanie API. Zalecana jest natychmiastowa aktualizacja, zwłaszcza dla systemów z włączonym API.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka bezpieczeństwa w Oracle E-Business Suite, oznaczona jako CVE-2026-46817, jest aktywnie wykorzystywana przez atakujących, mimo że Oracle wydało łatki w zeszłym miesiącu. Podatność pozwala nieautoryzowanemu atakującemu z dostępem sieciowym na przejęcie kontroli nad Oracle Payments, a wśród poszkodowanych znalazł się koncern motoryzacyjny Nissan, który padł ofiarą podobnego ataku na system PeopleSoft.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)