Python

Wykryto poważną lukę bezpieczeństwa w algorytmie kompresji Brotli od Google, która może prowadzić do zdalnego wykonania kodu. Problem dotyka wielu popularnych aplikacji i bibliotek, w tym Node.js, Bun, pakietów Brotli dla Pythona oraz proxy Envoy, pozwalając atakującym na nadpisanie pamięci poprzez specjalnie przygotowane dane. Chociaż błąd został już załatany w niektórych produktach, wymaga on ręcznej aktualizacji każdej dotkniętej aplikacji lub biblioteki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto poważną lukę bezpieczeństwa w algorytmie kompresji Brotli od Google, która może prowadzić do zdalnego wykonania kodu. Problem dotyka wielu popularnych aplikacji i bibliotek, w tym Node.js, Bun, pakietów Brotli dla Pythona oraz proxy Envoy, pozwalając atakującym na nadpisanie pamięci poprzez specjalnie przygotowane dane. Chociaż błąd został już załatany w niektórych produktach, wymaga on ręcznej aktualizacji każdej dotkniętej aplikacji lub biblioteki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W popularnej bibliotece Pillow do obsługi obrazów w Pythonie odkryto poważną lukę bezpieczeństwa (CVE-2026-112900), która pozwala na zdalne wykonanie kodu poprzez spreparowanie nazwy pliku EPS. Podatność polega na tym, że biblioteka przekazuje nazwę pliku do programu Ghostscript bez wcześniejszego sprawdzenia, co może umożliwić atakującemu wykonanie dowolnych poleceń systemowych. Naprawiono ją w wersji 13.0.0. Oprócz tego, opisano inne luki w obsługiwanych formatach JPEG i TIFF, z których część również pozwala na wykonanie kodu, jeśli zainstalowane są dodatkowe pakiety lub występują specyficzne warunki. Zaleca się pilną aktualizację do Pillow 13.0.0.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

W popularnej bibliotece Pillow do obsługi obrazów w Pythonie odkryto poważną lukę bezpieczeństwa (CVE-2026-112900), która pozwala na zdalne wykonanie kodu poprzez spreparowanie nazwy pliku EPS. Podatność polega na tym, że biblioteka przekazuje nazwę pliku do programu Ghostscript bez wcześniejszego sprawdzenia, co może umożliwić atakującemu wykonanie dowolnych poleceń systemowych. Naprawiono ją w wersji 13.0.0. Oprócz tego, opisano inne luki w obsługiwanych formatach JPEG i TIFF, z których część również pozwala na wykonanie kodu, jeśli zainstalowane są dodatkowe pakiety lub występują specyficzne warunki. Zaleca się pilną aktualizację do Pillow 13.0.0.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

W SAP Cloud SDK for Python wykryto krytyczną lukę (CVE-2026-89111) z oceną CVSS 10.0, która pozwala atakującemu na przechwycenie poufnych danych uwierzytelniających OAuth2 aplikacji wielodostępnych na SAP Business Technology Platform (BTP), gdy atakujący ma kontrolę nad poddomeną dzierżawy. Chociaż luka została naprawiona w wersji 0.45.2 wydanej 21 sierpnia, niektóre późniejsze wersje (0.53.0-0.55.0) ponownie wprowadziły ten problem, zanim został on skutecznie załatany w wersji 0.55.1.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W SAP Cloud SDK for Python wykryto krytyczną lukę (CVE-2026-89111) z oceną CVSS 10.0, która pozwala atakującemu na przechwycenie poufnych danych uwierzytelniających OAuth2 aplikacji wielodostępnych na SAP Business Technology Platform (BTP), gdy atakujący ma kontrolę nad poddomeną dzierżawy. Chociaż luka została naprawiona w wersji 0.45.2 wydanej 21 sierpnia, niektóre późniejsze wersje (0.53.0-0.55.0) ponownie wprowadziły ten problem, zanim został on skutecznie załatany w wersji 0.55.1.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)