RCE

W popularnym, samo-hostowanym narzędziu Git o otwartym kodzie źródłowym Gogs odkryto krytyczną lukę bezpieczeństwa o CVSS 9.4, która pozwala uwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu poprzez utworzenie żądania ściągnięcia z złośliwie spreparowaną nazwą gałęzi, która wstrzykuje flagę --exec do polecenia git rebase. Luki tej można wykorzystać bez uprawnień administratora, tworząc konto i repozytorium, a następnie włączając opcję rebase merging w ustawieniach, co może prowadzić do przejęcia serwera, dostępu do wszystkich repozytoriów, kradzieży danych uwierzytelniających, a nawet naruszeń danych między dzierżawcami.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Drupal wydał aktualizacje bezpieczeństwa dla krytycznej luki w swojej platformie, która może pozwolić atakującym na zdalne wykonanie kodu, eskalację uprawnień lub ujawnienie informacji. Problem dotyczy tylko witryn korzystających z baz danych PostgreSQL i może być wykorzystany przez anonimowych użytkowników. Zaktualizowano już wersje Drupal 11.x i 10.x, a dla starszych, nieobsługiwanych wersji udostępniono łaty w ramach najlepszych starań.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

W popularnym rozwiązaniu do bezpieczeństwa poczty e-mail, SEPPMail Secure E-Mail Gateway, odkryto krytyczne luki bezpieczeństwa pozwalające atakującym na zdalne wykonanie kodu, odczyt dowolnych wiadomości e-mail, a nawet uzyskanie dostępu do sieci wewnętrznej. Zidentyfikowano szereg podatności, w tym path traversal, wyciek informacji, brak autoryzacji, deserializację niezaufanych danych oraz injekcję kodu, z których niektóre zostały już załatane w nowszych wersjach produktu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowo ujawniona luka bezpieczeństwa w NGINX Plus i NGINX Open, oznaczona jako CVE-2026-42945 (CVSS 9.2), jest aktywnie wykorzystywana przez cyberprzestępców, umożliwiając nieautoryzowanym atakującym awarię procesów roboczych lub wykonanie zdalnego kodu, szczególnie gdy wyłączona jest ochrona ASLR. Jednocześnie ujawniono również aktywne wykorzystanie krytycznych luk w openDCIM (CVE-2026-28515, CVE-2026-28517, CVE-2026-28516), które po połączeniu pozwalają na zdalne wykonanie kodu i uruchomienie powłoki zwrotnej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto krytyczną, 18-letnią lukę bezpieczeństwa w module NGINX Rewrite (CVE-2026-42945), która pozwala atakującym bez uwierzytelnienia na zdalne wykonanie kodu (RCE) lub atak DoS poprzez wysłanie spreparowanych żądań HTTP. Problem, nazwany NGINX Rift, polega na przepełnieniu bufora sterty, a jego potencjalne skutki są poważne, zwłaszcza przy wyłączonym ASLR.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Zidentyfikowano krytyczną lukę CVE-2026-0300 w oprogramowaniu PAN-OS firmy Palo Alto Networks, umożliwiającą atakującym nieautoryzowane wykonanie kodu z uprawnieniami root, która jest aktywnie wykorzystywana przez podejrzewany o sponsorowanie przez państwo klaster zagrożeń CL-STA-1132. Zagrożenie polega na możliwości zdalnego wykonania kodu i przejęciu kontroli nad urządzeniem, co może prowadzić do szpiegostwa przemysłowego, a działania obejmują próbę ukrycia śladów oraz instalację dodatkowych narzędzi. Zaleca się pilne wdrożenie łatek i środków zaradczych, takich jak ograniczenie dostępu do portalu uwierzytelniania User-ID oraz wyłączenie stron odpowiedzi w profilach interfejsów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka w zabezpieczeniach platformy Weaver (Fanwei) E-cology, umożliwiająca zdalne wykonanie kodu (RCE) bez uwierzytelnienia (CVE-2026-22679), jest aktywnie wykorzystywana przez atakujących. Podatność dotyczy wersji 10.0 poprzedzających 20260312 i pozwala na wykonanie dowolnych poleceń poprzez zasugerowany endpoint debugowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Google naprawiło krytyczną lukę o maksymalnym priorytecie (CVSS 10.0) w pakiecie @google/gemini-cli oraz przepływie pracy google-github-actions/run-gemini-cli, która umożliwiała atakującym zdalne wykonanie dowolnego kodu na systemach hosta poprzez manipulację plikami konfiguracyjnymi. Dodatkowo, narzędzie AI Cursor zostało załatane po ujawnieniu luk, w tym tej pozwalającej na wykonanie kodu poprzez wstrzyknięcie prompta i luki umożliwiającej wyciek danych przez rozszerzenia.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W SGLang odkryto krytyczną lukę bezpieczeństwa (CVE-2026-5760) o wysokim wskaźniku CVSS 9.8, która umożliwia zdalne wykonanie kodu poprzez specjalnie spreparowane pliki modeli GGUF. Atakujący wykorzystuje wstrzyknięcie szablonu serwerowego Jinja2 (SSTI) w parametrze tokenizer.chat_template, co po załadowaniu modelu i wywołaniu endpointu ‘/v1/rerank’ pozwala na wykonanie dowolnego kodu Python na serwerze SGLang. Problem wynika z niewłaściwego użycia jinja2.Environment() zamiast ImmutableSandboxedEnvironment, a podobne luki były już wcześniej wykrywane w powiązanych projektach.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badacze bezpieczeństwa odkryli krytyczną wadę projektową w architekturze Model Context Protocol (MCP) firmy Anthropic, która umożliwia zdalne wykonanie kodu (RCE) i zagraża całemu łańcuchowi dostaw sztucznej inteligencji. Luka wynika z niebezpiecznych domyślnych ustawień konfiguracji przez interfejs STDIO, dotykając tysięcy serwerów i pakietów oprogramowania, co może prowadzić do wycieku wrażliwych danych użytkowników.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)