Luka Bezpieczeństwa

W oprogramowaniu Issabel Framework, używanym w rozwiązaniach Unified Communications, wykryto krytyczną lukę bezpieczeństwa (CVE-2026-89026) o wysokim wskaźniku CVSS. Pozwala ona niezweryfikowanym atakującym zdalnie wykonać dowolne polecenia systemu operacyjnego, wykorzystując zaszyty na stałe klucz do podpisywania tokenów JWT. Po załataniu luki poprzez zastąpienie klucza, zaleca się natychmiastową aktualizację oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto poważną lukę w zabezpieczeniach oprogramowania Parallels Desktop dla komputerów Mac, która umożliwia zwykłym użytkownikom lokalnych kont uzyskać pełne uprawnienia roota, co pozwala na wykonanie dowolnego kodu. Problem dotyczy błędu w obsłudze argumentów podczas instalacji maszyn wirtualnych, który jest możliwy do wykorzystania przez złośliwy kod działający na komputerze Mac jako zwykły użytkownik. Poprawka, oznaczona jako CVE-2026-90894, jest dostępna w wersji Parallels Desktop 27, jednak użytkownicy komputerów Mac z procesorami Intel nie mogą zainstalować tej wersji, ponieważ Parallels zaprzestał wsparcia dla tej architektury w wersji 27, pozostawiając ich bez możliwości załatania tej krytycznej luki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Google potwierdziło, że krytyczna luka w zabezpieczeniach modemu komórkowego Pixel, oznaczona jako CVE-2026-58704, jest aktywnie wykorzystywana w ograniczonym zakresie w atakach zdalnego eskalacji uprawnień. Poza tym incydentem, firma załatała w sumie 109 innych luk, z czego znaczną część stanowią te umożliwiające eskalację uprawnień i wykonanie zdalnego kodu, a aktualizacja z łatkami jest już dostępna.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Firma Acronis ostrzega przed wykorzystaniem poważnej luki bezpieczeństwa (CVE-2026-87886) we wtyczce Backup dla cPanel i WHM, która umożliwia eskalację uprawnień lokalnych przez atakujących z niskimi uprawnieniami. Podatne są wersje dla systemu Linux poniżej build 1.9.3.1021, a poprawka została wydana w wersji 1.9.3 HF3. Trwają ukierunkowane ataki, ale szczegóły dotyczące ich celów i sprawców pozostają nieznane, dlatego użytkownikom zaleca się pilną aktualizację oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wykryto masowe ataki na wtyczkę WooCommerce Wholesale Lead Capture dla WordPressa, która ma ponad 6000 aktywnych instalacji. Luka CVE-2026-27540 z krytycznym wynikiem CVSS 9.8 pozwala nieautoryzowanym atakującym na przesłanie dowolnych plików, w tym PHP backdoors, co prowadzi do zdalnego wykonania kodu. Wordfence zablokował ponad 100 000 prób ataków od czerwca 2026 roku, a podobne luki wykryto wtyczkach “The Events Calendar”, które mogą prowadzić do przejęcia kontroli nad stroną.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka bezpieczeństwa w WSO2 API Manager, śledzona jako CVE-2026-5430 z oceną CVSS 9.8/10.0, jest aktywnie wykorzystywana w środowisku produkcyjnym. Luka pozwala na obejście uwierzytelniania JWT poprzez użycie tokenów podpisanych niewspieranym algorytmem, co może prowadzić do przejęcia kontroli nad kontami, w tym administracyjnymi, oraz kradzieży danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Choć sztuczna inteligencja skraca czas między odkryciem a wykorzystaniem luki, wykazano, że ludzcy operatorzy potrafią działać równie szybko, wykorzystując podstępne narzędzia. W opisanym przypadku zaatakowano lukę CVE-2026-39987 w Marimo, co pozwoliło na przejęcie kontroli nad danymi i uzyskanie dostępu do serwera bastion SSH w zaledwie osiem sekund, omijając pułapki, w które wpadły narzędzia AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa odkryli masową kampanię skanującą skierowaną przeciwko serwerom deweloperskim Vite, wykorzystującą lukę CVE-2026-39364 do wykradania wrażliwych danych uwierzytelniających do chmury, konfiguracji z instancji AWS i Azure, a także plików stanu infrastruktury. Atakujący, podając specyficzne parametry zapytań, mogą omijać zabezpieczenia i uzyskać dostęp do poufnych plików, takich jak pliki .env czy dane uwierzytelniające do chmury, co stwarza poważne ryzyko naruszenia bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Współdzielone serwery hostingowe obsługujące LiteSpeed Web Server Enterprise są zagrożone przez krytyczną lukę, która pozwala użytkownikowi z niskimi uprawnieniami na zdobycie dostępu roota. Podatność ta może umożliwić atakującemu dostęp do lub modyfikację innych witryn i samego serwera, omijając mechanizmy izolacji takie jak CageFS. Zaleca się natychmiastową aktualizację do wersji 6.3.7.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto poważną lukę w Telegram Desktop, która pozwalała botom na wstrzyknięcie ukrytego kodu JavaScript do eksportowanych do HTML wiadomości, umożliwiając kradzież ich treści lub modyfikację wyświetlanej strony. Chociaż Telegram wypuścił poprawkę, starsze eksporty pozostały podatne, co stanowi ryzyko dla użytkowników otwierających pliki z JavaScriptem.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitLab opublikował łatki naprawiające liczne luki bezpieczeństwa, w tym krytyczną lukę CVE-2026-85706 (CVSS 10.0), która umożliwia nieautoryzowanym użytkownikom odczyt dowolnych plików z serwera GitLab, co doprowadziło do natychmiastowych prób wykorzystania w atakach. Problemem jest niewłaściwe ograniczanie ścieżek i brak egzekwowania uwierzytelniania w API repozytorium commitów, a wśród innych załatanych luk znajduje się również problem deserializacji w GitLab EE (CVE-2026-87719, CVSS 9.9), co może prowadzić do ujawnienia informacji. Organizacje posiadające samoobsługowe instancje GitLab narażone na działanie Internetu powinny pilnie zastosować łatki lub ograniczyć dostęp publiczny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Grupa hakerska powiązana z Chinami, UNC3569, wykorzystała lukę w popularnej klawiaturze Sogou Input Method do zainstalowania backdoor na komputerach ofiar. Atak rozpoczął się od spreparowanego linku, który prowadził do wykorzystania starej, niezaktualizowanej wersji silnika przeglądarki Chromium, umożliwiając zdalną egzekucję kodu i pełną kontrolę nad systemem, choć poprawka Tencent zablokowała wektor ataku, pozostawiając nieaktualne komponenty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badanie przeprowadzone przez Wiz Research ujawniło, że około 10% skanowanych serwerów LiteLLM akceptowało domyślny klucz administratora “sk-1234”, pozostawiony w konfiguracji. Brak wymaganego klucza umożliwia pełny dostęp administracyjny, w tym odczyt kluczy API dostawców modeli oraz dostęp do poświadczeń chmurowych maszyny, na której działa brama. Chociaż LiteLLM traktuje administratorów jako zaufanych, a niektóre luki są poza zakresem jego modelu zagrożeń, błędy te już są wykorzystywane do instalacji koparek kryptowalut i kradzieży danych, dlatego kluczowa jest aktualizacja oprogramowania i zabezpieczenie konfiguracji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

W narzędziu DeepSeek Harness, służącym do uruchamiania agentów AI na maszynie dewelopera, odkryto lukę pozwalającą na wyłączenie piaskownicy zabezpieczającej agenta za pomocą jednego polecenia. Błąd, śledzony jako CVE-2026-82533 i oceniony na 9.4/10, umożliwiał agentowi dostęp do interfejsu webowego narzędzia i zmianę trybu na ‘danger-full-access’, omijając tym samym mechanizm aprobaty dla szerszych uprawnień. Pomimo początkowych zgłoszeń społeczności w sierpniu, oficjalna poprawka trafiła do użytkowników dopiero pod koniec września z wersją 0.1.2-alpha.2, jednak zaleca się instalację wersji 0.1.2-rc.1 lub nowszej, a w przypadku braku możliwości aktualizacji, tymczasowe zatrzymanie interfejsu webowego i usunięcie jego przekierowań.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Firma Alby ostrzegła przed krytyczną luką w Alby Hub, która umożliwiała atakującym przejęcie kontroli nad portfelem Bitcoin i kradzież środków, ale tylko w przypadku, gdy właściciel udostępnił Hub do Internetu. Luka dotyczy wersji od v1.7.0 do v1.18.5, a Alby zaleca natychmiastowe zaprzestanie zewnętrznego dostępu do interfejsu zarządzania i aktualizację do wersji v1.24.0, by zabezpieczyć swoje środki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Google wydało aktualizacje łatające 230 luk bezpieczeństwa, w tym jedną krytyczną sklasyfikowaną jako CVE-2026-87491, która była aktywnie wykorzystywana w realnych atakach. Luka typu ‘out-of-bounds write’ w silniku V8 pozwala zdalnym atakującym na wykonanie dowolnego kodu wewnątrz piaskownicy przeglądarki za pomocą spreparowanej strony HTML. Zespół Google jest świadomy zagrożenia, ale ogranicza szczegóły techniczne do czasu powszechnej aktualizacji użytkowników.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto i załatano krytyczną lukę w cPanel, która umożliwiała pojedynczemu kontu hostingowemu z uprawnieniami pocztowymi przejęcie pełnej kontroli nad serwerem poprzez wykonanie kodu z uprawnieniami roota. Dotknięte zostały wszystkie wspierane wersje cPanel i WHM, a podatność śledzona jest pod numerem CVE-2026-67401 i opisana jako problem SQL injection w module EmailTrack. Atakujący wykorzystujący tę lukę mógłby uzyskać dostęp do wszystkich kont hostingowych, modyfikować pliki i bazy danych, instalować złośliwe oprogramowanie oraz kraść dane uwierzytelniające.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Amerykańska Agencja ds. Cyberbezpieczeństwa i Infrastruktury (CISA) dodała lukę o maksymalnej wadze w N-able N-central do katalogu znanych wykorzystywanych luk, wymagając od agencji federalnych zastosowania poprawek do 11 września 2026 roku. Luka CVE-2026-86218, będąca wstrzyknięciem kodu, została załatana w N-central 2026.3 Hotfix 4, ale w międzyczasie odkryto, że jest już aktywnie wykorzystywana, co stwarza poważne ryzyko dla zarządzanych przez MSP środowisk IT.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto krytyczną lukę w FreeIPA (CVE-2026-76578), która w połączeniu z błędem w 389 Directory Server (CVE-2026-76560) umożliwia anonimowym klientom stworzenie własnej tożsamości Kerberos i uzyskanie dostępu do grupy administratorów, nawet bez wcześniejszego logowania. Zidentyfikowano również drugą, osobną lukę w FreeIPA (CVE-2026-79678) związaną z wykonaniem kodu przez polecenie idp-add, która może prowadzić do wycieku danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

N-able udostępniło czwartą poprawkę (hotfix) w ciągu zaledwie pięciu tygodni dla swojej platformy N-central, tym razem dla krytycznej luki CVE-2026-86218, która pozwala na zdalne wykonanie kodu bez uwierzytelniania. Firma nie jest zgodna co do tego, czy luka została już wykorzystana w atakach, choć niektóre komunikaty sugerują takie możliwość, podczas gdy inne zaprzeczają. Wszyscy użytkownicy N-central poniżej wersji 2026.3.1.14 powinni natychmiast zaktualizować system, a dla klientów korzystających z wersji on-premises zaleca się natychmiastową aktualizację do 2026.3.1.14.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Broadcom załatał dwie krytyczne luki bezpieczeństwa w VMware Workstation i Fusion, w tym lukę oznaczona jako CVE-2026-59346 (CVSS 9.3), która pozwala lokalnemu atakującemu z podwyższonymi uprawnieniami na wykonanie dowolnego kodu na hoście. Druga luka (CVE-2026-59347, CVSS 8.1) dotyczy przepełnienia bufora w HGFS i również umożliwia zdalną egzekucję kodu. Obie luki wymagają od atakującego posiadania lokalnych uprawnień administratora w maszynie wirtualnej, a ich udana eksploatacja może nastąpić przez phishing lub wykorzystanie słabych konfiguracji użytkowników.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

PostgreSQL wydał poprawki bezpieczeństwa, które rozwiązują 12-letnią lukę w mechanizmie dekodowania logicznego (CVE-2026-6471), pozwalającą użytkownikowi z atrybutem REPLICATION na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający serwer bazy danych. Nowy parametr output_plugin_libraries wprowadza białą listę dozwolonych wtyczek wyjściowych, zapobiegając poprzednim zagrożeniom związanym z ładowaniem dowolnych bibliotek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Cisco wydało łatki bezpieczeństwa dla serii przełączników Nexus 9000 z układami Silicon One, naprawiając krytyczną lukę (CVE-2026-20212) umożliwiającą zdalnym atakującym bez uwierzytelnienia wykonanie kodu z uprawnieniami roota, a także wydało uaktualnienia dla IOS XR z siedmioma powiązanymi podatnościami, z których dwie mają ocenę 9.8. Podatność dotyczy błędnego powiązania z nieograniczonym adresem IP, co pozostawia otwarte porty TCP 43210 i 43211, pozwalając na bezpośrednie połączenie i wykonanie złośliwego kodu. Cisco jednocześnie wydało łatki dla IOS XR, które obejmują łącznie 7 luk, z czego dwie mają ekstremalnie wysoką ocenę CVSS 9.8, i zaleca klientom aktualizację systemów oraz zastosowanie dostępnych środków zaradczych, takich jak listy ACL blokujące wskazane porty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Bezpośrednio po publicznym ujawnieniu, aktorzy zagrożeń aktywnie wykorzystują nowo załatane, krytyczne luki bezpieczeństwa w JFrog Artifactory, umożliwiając obejście uwierzytelniania i uzyskanie dostępu administracyjnego poprzez nieuwierzytelnione żądania. Podatność, zidentyfikowana jako CVE-2026-82329 (CVSS 9.8), pozwala na tworzenie fałszywych kluczy przyłączeniowych, co może prowadzić do całkowitego przejęcia kontroli nad systemem i potencjalnego zatruwania łańcucha dostaw oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka w obsłudze sald w module Cosmos EVM została wykorzystana do opróżnienia funduszy z sześciu blockchainów między 20 a 25 sierpnia 2026 roku, pomimo wcześniejszej wiedzy zespołu Cosmos Labs o podatności. Błąd GHSA-7g4w-cg88-2cq2, który był niewłaściwie oceniany jako niegroźny dla sieci produkcyjnych, doprowadził do strat około 5,72 miliona USD. Zalecane jest natychmiastowe aktualizacje lub zatrzymanie sieci, a także wyłączenie możliwości tworzenia kont vestingowych w celu załagodzenia ryzyka.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Amerykańska agencja CISA dodała krytyczną lukę w oprogramowaniu ownCloud do katalogu znanych luk, po doniesieniach o wykorzystaniu jej przez chińskojęzycznego hakera do kradzieży danych z filipińskiego instytutu badawczego ds. energii jądrowej. Luka, oznaczona jako CVE-2023-49105, umożliwia obejście uwierzytelniania WebDAV i dostęp do plików bez autoryzacji, jeśli nazwa użytkownika jest znana i nie skonfigurowano klucza podpisu, co jest domyślnym ustawieniem. Wyciek obejmował rekordy materiałów nuklearnych, plany strategiczne, dane osobowe pracowników oraz bazy danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

cPanel wydał łatki dla krytycznej luki bezpieczeństwa w funkcjach parkowania domen i domen dodatkowych, która umożliwia wykonanie kodu z uprawnieniami roota. Podatność CVE-2026-65643 pozwala uwierzytelnionemu użytkownikowi na tworzenie dowolnych plików na serwerze, co w efekcie daje atakującemu pełną kontrolę nad systemem. Aktualizacja jest już dostępna dla wszystkich wspieranych wersji cPanel i WHM, a serwery z automatycznymi aktualizacjami otrzymują ją automatycznie.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Firma PaperCut ostrzega przed aktywnie wykorzystywaną luką bezpieczeństwa typu zero-day, która dotyka wszystkich wersji jej oprogramowania do zarządzania drukiem PaperCut NG i MF. Producent wydał pilną łatkę dla wersji v25 i v26 i zaleca natychmiastowe ograniczenie dostępu do serwerów PaperCut od strony internetu poprzez reguły zapory sieciowej lub podobne środki bezpieczeństwa, nawet jeśli nie zaobserwowano podejrzanej aktywności. W przeszłości podobne luki w PaperCut były wykorzystywane do dystrybucji ransomware.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Oprogramowanie Marimo załatało lukę bezpieczeństwa o wysokim priorytecie, która umożliwiała atakującemu wykonanie złośliwego polecenia Model Context Protocol (MCP) w specjalnie spreparowanym notatniku, uruchamianym jako lokalny podproces przed wykonaniem jakiejkolwiek komórki w trybie edycji. Problemy te, oznaczono jako CVE-2026-75149 i CVE-2026-67618, dotyczyły wersji przed 0.23.15 i zostały naprawione w najnowszych wydaniach, z uwzględnieniem zmian związanych z uwierzytelnianiem i zatwierdzaniem metadanych notatnika.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Amerykańska Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) dodała do katalogu znanych wykorzystywanych luk (KEV) krytyczną lukę bezpieczeństwa w Oracle HTTP Server i Oracle WebLogic Server, oznaczono ją jako CVE-2026-21962, z wynikiem CVSS 10.0. Luka ta pozwala atakującym bez uwierzytelnienia na uzyskanie nieautoryzowanego dostępu do krytycznych danych lub ich modyfikację, a mimo wydanych przez Oracle łatek w styczniu, odnotowano jej aktywne wykorzystanie przez zagrożenia, w tym ataki na znane luki RCE w WebLogic.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Citrix wydał aktualizacje adresujące dwie luki bezpieczeństwa w swoich produktach NetScaler ADC i NetScaler Gateway, w tym krytyczną lukę umożliwiającą obejście uwierzytelniania. Problem dotyczy instalacji zarządzanych przez klienta, w tym pewnych wersji FIPS i NDcPP, a także wdrożeń SecurAccess ZTNA Hybrid, które wykorzystują te instance. Luka CVE-2026-19490 (CVSS 9.3) jest szczególnie groźna, pozwalając na nieautoryzowany dostęp, gdy urządzenia są skonfigurowane jako Gateway lub serwer AAA i spełnione są określone wymagania wersjonowania oraz konfiguracji SAML.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Krytyczna luka w popularnym wtyczce Elementor Pro dla WordPressa (CVE-2026-32475) pozwala nieautoryzowanym atakującym na zdalne wykonanie kodu. Luka związana z nieograniczonym przesyłaniem plików przez moduł formularzy pozwala na wgranie skryptów PHP do publicznych katalogów, co skutkuje pełną kontrolą nad zainfekowaną stroną. Wydawca udostępnił już łatkę (wersja 4.2.2).

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Krytyczna luka w zabezpieczeniach GitLaba, oznaczona jako CVE-2026-19478 i oceniona na 9.4 w skali CVSS, umożliwia anonimowym atakującym zdalne modyfikowanie lub usuwanie publicznych projektów i danych użytkowników za pośrednictwem dyrektywy GraphQL. Poprawka dotyczy wyłącznie instalacji zarządzanych samodzielnie, a wersje GitLab.com i GitLab Dedicated są już zabezpieczone. Dodatkowo, naprawiono lukę CSRF (CVE-2026-19650) o znaczeniu wysokim, która wymaga interakcji użytkownika do wykorzystania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto lukę w procesie CI/CD repozytorium Snowflake, która umożliwiała wykonanie dowolnych poleceń w przepływie pracy za pomocą spreparowanego zgłoszenia na GitHubie. Atakujący mogli wykorzystać tę podatność do uzyskania tokenu API Jira, co potwierdzono w testach bezpieczeństwa. Chociaż Snowflake potwierdził brak dowodów na nieautoryzowany dostęp, token został natychmiast obrócony, a podatność załatana.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wtyczka Forminator Forms dla WordPressa, z ponad 600 000 aktywnych instalacji, posiada krytyczną lukę bezpieczeństwa (CVE-2026-15748) z oceną 9.8/10. Atakujący bez uwierzytelnienia mogą wykorzystać ją do przesłania dowolnych plików, w tym PHP, co prowadzi do zdalnego wykonania kodu i pełnego przejęcia kontroli nad witryną. Działa to poprzez możliwość przesłania złośliwego pliku PHP w formularzach zawierających pole “File Upload” i “Select”, obchodząc mechanizmy bezpieczeństwa, zwłaszcza gdy administrator skonfiguruje niestandardowe miejsce przechowywania plików.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)