Brotli

Agencja CISA dodała do katalogu znanych wykorzystywanych podatności dwie luki w Adobe Commerce/Magento (CVE-2026-48356, PolyShell) i w bibliotece Brotli Google (CVE-2026-111497, Node2Shell), które są aktywnie wykorzystywane przez atakujących. Pierwsza pozwala na zdalne wykonanie kodu w kontekście użytkownika, druga umożliwia korupcję pamięci i wykonanie kodu poprzez spreparowany strumień danych Brotli, co już doprowadziło do naruszenia setek sklepów internetowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Agencja CISA dodała do katalogu znanych wykorzystywanych podatności dwie luki w Adobe Commerce/Magento (CVE-2026-48356, PolyShell) i w bibliotece Brotli Google (CVE-2026-111497, Node2Shell), które są aktywnie wykorzystywane przez atakujących. Pierwsza pozwala na zdalne wykonanie kodu w kontekście użytkownika, druga umożliwia korupcję pamięci i wykonanie kodu poprzez spreparowany strumień danych Brotli, co już doprowadziło do naruszenia setek sklepów internetowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

PHP wydało nowe wersje swoich oficjalnych pakietów Windows dla PHP 8.2-8.5, aby załatać krytyczną lukę CVE-2026-111497 w bibliotece kompresji Brotli, która mogła pozwolić atakującemu na uszkodzenie pamięci i wykonanie kodu. Błąd, odkryty przez OpenAI i oceniony jako krytyczny, może być wykorzystany poprzez rozszerzenie cURL, gdy jest ono skonfigurowane do automatycznego dekompresowania odpowiedzi HTTP, co jest domyślnie włączone w niektórych popularnych bibliotekach, takich jak Guzzle. Zaleca się natychmiastową aktualizację do najnowszych wersji pakietów i wyłączenie automatycznej dekompresji Brotli jako tymczasowe obejście.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

PHP wydało nowe wersje swoich oficjalnych pakietów Windows dla PHP 8.2-8.5, aby załatać krytyczną lukę CVE-2026-111497 w bibliotece kompresji Brotli, która mogła pozwolić atakującemu na uszkodzenie pamięci i wykonanie kodu. Błąd, odkryty przez OpenAI i oceniony jako krytyczny, może być wykorzystany poprzez rozszerzenie cURL, gdy jest ono skonfigurowane do automatycznego dekompresowania odpowiedzi HTTP, co jest domyślnie włączone w niektórych popularnych bibliotekach, takich jak Guzzle. Zaleca się natychmiastową aktualizację do najnowszych wersji pakietów i wyłączenie automatycznej dekompresji Brotli jako tymczasowe obejście.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wykryto poważną lukę bezpieczeństwa w algorytmie kompresji Brotli od Google, która może prowadzić do zdalnego wykonania kodu. Problem dotyka wielu popularnych aplikacji i bibliotek, w tym Node.js, Bun, pakietów Brotli dla Pythona oraz proxy Envoy, pozwalając atakującym na nadpisanie pamięci poprzez specjalnie przygotowane dane. Chociaż błąd został już załatany w niektórych produktach, wymaga on ręcznej aktualizacji każdej dotkniętej aplikacji lub biblioteki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto poważną lukę bezpieczeństwa w algorytmie kompresji Brotli od Google, która może prowadzić do zdalnego wykonania kodu. Problem dotyka wielu popularnych aplikacji i bibliotek, w tym Node.js, Bun, pakietów Brotli dla Pythona oraz proxy Envoy, pozwalając atakującym na nadpisanie pamięci poprzez specjalnie przygotowane dane. Chociaż błąd został już załatany w niektórych produktach, wymaga on ręcznej aktualizacji każdej dotkniętej aplikacji lub biblioteki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badacze z Imperva odkryli poważną lukę w oficjalnej wersji Node.js (CVE-2026-111497), nazwaną Node2Shell, która pozwala na wykonanie złośliwego kodu za pomocą spreparowanych danych Brotli. Po udostępnieniu poprawek przez Node.js, aplikacje przetwarzające niepewne dane Brotli powinny zostać zaktualizowane, aby uniknąć ryzyka.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze z Imperva odkryli poważną lukę w oficjalnej wersji Node.js (CVE-2026-111497), nazwaną Node2Shell, która pozwala na wykonanie złośliwego kodu za pomocą spreparowanych danych Brotli. Po udostępnieniu poprawek przez Node.js, aplikacje przetwarzające niepewne dane Brotli powinny zostać zaktualizowane, aby uniknąć ryzyka.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wydano krytyczne aktualizacje bezpieczeństwa dla Node.js, które naprawiają 10 luk, w tym poważny błąd w kodzie dekompresji Brotli, mogący prowadzić do zdalnego wykonania kodu na zainfekowanych systemach. Błąd ten, wykryty w bibliotece Brotli używanej przez Node.js, jest naprawiany w wersjach 22.x, 24.x i 26.x, natomiast starsze wersje (20.x i wcześniejsze) nie otrzymają łatki i powinny zostać zaktualizowane. Pozostałe luki dotyczą kontroli certyfikatów TLS, obsługi nazw hostów oraz generowania losowych liczb, a także problemów z zależnościami jak undici.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wydano krytyczne aktualizacje bezpieczeństwa dla Node.js, które naprawiają 10 luk, w tym poważny błąd w kodzie dekompresji Brotli, mogący prowadzić do zdalnego wykonania kodu na zainfekowanych systemach. Błąd ten, wykryty w bibliotece Brotli używanej przez Node.js, jest naprawiany w wersjach 22.x, 24.x i 26.x, natomiast starsze wersje (20.x i wcześniejsze) nie otrzymają łatki i powinny zostać zaktualizowane. Pozostałe luki dotyczą kontroli certyfikatów TLS, obsługi nazw hostów oraz generowania losowych liczb, a także problemów z zależnościami jak undici.

Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)