Podatności i biuletyny

CVE-2026-34474: krytyczne ujawnienie haseł adminis...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu CVE-2026-34474 to poważna podatność dotycząca routerów ZTE ZXHN H298A oraz ZXHN H108N. Problem polega na tym, iż interfejs WWW urządzenia może ujawniać w odpowiedzi HTTP wrażliwe dane konfiguracyjne bez konieczności wcześniej...

ImageMagick: luka w dekoderze MIFF może powodować ...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W ekosystemie przetwarzania obrazów szczególnie niebezpieczne są błędy, które można wywołać samym dostarczeniem spreparowanego pliku. W przypadku ImageMagick problem dotyczy dekodera formatu MIFF i prowadzi do nie...

MixPHP Framework 2.2.17 z krytyczną luką unsafe de...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W środowisku aplikacji PHP jedną z najpoważniejszych klas podatności pozostaje deserializacja niezaufanych danych. Problem występuje wtedy, gdy aplikacja przekazuje dane kontrolowane przez użytkownika bezpośrednio...

Linux Kernel: lokalna eskalacja uprawnień przez ma...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Publicznie opisany łańcuch exploita wskazuje na możliwość lokalnej eskalacji uprawnień w jądrze Linux z poziomu zwykłego użytkownika do roota. Istota problemu ma dotyczyć manipulacji danymi znajdującymi się w page...

CVE-2026-34473: nieuwierzytelniony atak DoS na rou...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja CVE-2026-34473 opisuje podatność typu Denial of Service wpływającą na wiele routerów ZTE wykorzystujących środowisko CGILua w interfejsie WWW. Problem wynika z niewystarczającego ograniczania rozmiaru danych wejśc...

MikroORM przed 7.0.14 z luką SQL Injection: zagroż...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W ekosystemie Node.js ujawniono podatność SQL Injection dotyczącą MikroORM, popularnego ORM-a używanego w aplikacjach TypeScript i JavaScript. Problem wynika z nieprawidłowego escapowania danych sterujących w kont...

Langflow 1.3.0 z krytyczną luką RCE bez uwierzytel...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W ekosystemie aplikacji AI oraz platform low-code coraz częściej pojawiają się błędy wynikające z niebezpiecznego przetwarzania kodu dostarczanego przez użytkownika. W przypadku Langflow 1.3.0 chodzi o krytyczną p...

CVE-2026-32202: Windows Shell umożliwia przechwyce...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Opisana podatność dotyczy komponentu Windows Shell, a dokładniej sposobu, w jaki Eksplorator plików obsługuje skróty typu .lnk. Atak polega na przygotowaniu złośliwego pliku skrótu zawierającego odwołanie do zdaln...

CVE-2026-0926 w Prodigy Commerce: groźna luka Loca...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Wtyczki e-commerce dla WordPressa od lat pozostają atrakcyjnym celem dla badaczy bezpieczeństwa i cyberprzestępców, ponieważ obsługują dane klientów, logikę zakupową, integracje administracyjne oraz procesy związa...

CVE-2026-1830: Quick Playground dla WordPressa pod...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Podatność CVE-2026-1830 dotyczy wtyczki Quick Playground dla WordPressa i prowadzi do jednego z najpoważniejszych scenariuszy bezpieczeństwa w ekosystemie CMS: nieuwierzytelnionego zdalnego wykonania kodu. Tego ty...

Microsoft i publiczne ujawnienie zero-day w Window...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Publiczne ujawnianie podatności typu zero-day bez wcześniejszej koordynacji z producentem od lat pozostaje jednym z najbardziej kontrowersyjnych tematów w cyberbezpieczeństwie. Problem pojawia się wtedy, gdy badac...

Złożone integracje chmurowe a bezpieczeństwo SaaS:...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Nowoczesne platformy SaaS coraz częściej łączą automatyzację procesów, uruchamianie własnego kodu użytkownika, integracje z usługami zewnętrznymi oraz zarządzanie tożsamościami technicznymi. Taki model zwiększa el...

CISA ostrzega przed atakami na łańcuch dostaw syst...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Ataki na łańcuch dostaw systemu należą dziś do najgroźniejszych zagrożeń dla organizacji rozwijających i wdrażających aplikacje. Ich celem nie są wyłącznie systemy produkcyjne, ale także repozytoria kodu, pipeline...

Krytyczna luka zero-day w Gogs umożliwia zdalne wy...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W projekcie Gogs, popularnej samoobsługowej platformie Git wdrażanej lokalnie, ujawniono krytyczną podatność typu zero-day prowadzącą do zdalnego wykonania kodu. Problem dotyczy obsługi pull requestów i wynika z n...

Chrome 148 łata 151 podatności, w tym 22 krytyczne...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Google udostępnił istotną aktualizację bezpieczeństwa dla przeglądarki Chrome 148, eliminując 151 podatności, w tym 22 błędy sklasyfikowane jako krytyczne. Skala poprawek pokazuje, iż przeglądarka internetowa pozo...

Podatności w oprogramowaniu QuickCMS

cert.pl 4 miesięcy temu W oprogramowaniu QuickCMS wykryto 2 podatności różnego typu (CVE-2026-33384 oraz CVE-2026-33386)

Poważne podatności w kliencie pocztowym

cyberdefence24.pl 4 miesięcy temu CERT Polska informuje o poważnych podatnościach w kliencie pocztowym Roundcube. W przeszłości podobne luki w oprogramowaniu były wykorzystywane w realnych atakach, które miały na celu przejmowanie skrzynek pocztowych i kradzież korespondencji. Zaleca...

Aktualizacja Notepad ++. (P26-208)

cert.pse-online.pl 4 miesięcy temu Aktualizacja Notepad ++. Poprawia 3 podatności.

ICS-CERT informuje o nowych podatnościach w produk...

cert.pse-online.pl 4 miesięcy temu ICS-CERT informuje o nowych podatnościach w produktach firmy Schneider Electric.

CISA dodaje krytyczną lukę LiteSpeed cPanel Plugin...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Amerykańska agencja CISA dodała podatność CVE-2026-48172 dotyczącą wtyczki LiteSpeed User-End dla cPanel do katalogu Known Exploited Vulnerabilities. Taka decyzja oznacza, iż luka została potwierdzona jako aktywni...

CISA rozszerza katalog KEV o Daemon Tools Lite, Ta...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Amerykańska agencja CISA dodała do katalogu Known Exploited Vulnerabilities trzy nowe pozycje związane z realnie wykorzystywanymi incydentami typu supply chain. Sprawa obejmuje Daemon Tools Lite, pakiety npm powią...

19,6 miliarda plików publicznie dostępnych w chmur...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Błędna konfiguracja zasobów chmurowych pozostaje jednym z najpoważniejszych i jednocześnie najczęściej bagatelizowanych problemów bezpieczeństwa. Nie chodzi tu o nową podatność typu zero-day ani wyrafinowany atak,...

Luka w Gitea mogła ujawnić prywatne obrazy kontene...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W oprogramowaniu Gitea wykryto poważną lukę kontroli dostępu dotyczącą wbudowanego rejestru kontenerów. Błąd sprawiał, iż prywatne obrazy kontenerów mogły być pobierane bez uwierzytelnienia, mimo iż zgodnie z zało...

Claude z funkcją security-guidance: automatyczny p...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Bezpieczeństwo nowoczesnych aplikacji coraz silniej zależy nie tylko od kompetencji zespołów developerskich i AppSec, ale również od jakości narzędzi AI wykorzystywanych do generowania oraz modyfikowania kodu. W o...

Microsoft krytykuje publiczne ujawnianie luk zero-...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Koordynowane ujawnianie podatności, znane jako Coordinated Vulnerability Disclosure (CVD), to model współpracy między badaczem bezpieczeństwa a producentem oprogramowania. Jego celem jest przekazanie szczegółów te...

Krytyczna luka RCE w Gogs pozwala uwierzytelnionym...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W platformie Gogs, czyli lekkiej i samohostowanej usłudze Git typu open source, ujawniono krytyczną podatność z kategorii zdalnego wykonania kodu. Luka umożliwia uwierzytelnionemu użytkownikowi uruchomienie dowoln...

CVE-2026-35616 w FortiClient EMS aktywnie wykorzys...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja CVE-2026-35616 to krytyczna podatność typu improper access control w FortiClient Endpoint Management Server (EMS), umożliwiająca zdalne wykonanie nieautoryzowanego kodu lub poleceń bez uwierzytelnienia. Ze względu...

Podatność w aplikacji Kidsview

cert.pl 4 miesięcy temu W aplikacji Kidsview wykryto podatność pozwalającą na ominięcie uwierzytelnienia (CVE-2026-8990).

Podatność w routerze D-Link DWR-X1820

cert.pl 4 miesięcy temu W routerze D-Link DWR-X1820 wykryto wykorzystanie słabych poświadczeń (CVE-2026-4377).

GitLab publikuje aktualizacje dla swoich produktów...

cert.pse-online.pl 4 miesięcy temu GitLab wydaje aktualizacje swoich produktów.

GitHub publikuje aktualizacje dla swoich produktów...

cert.pse-online.pl 4 miesięcy temu GitHub wydaje aktualizacje swoich produktów.

Microsoft informuje o nowych podatnościach w swoic...

cert.pse-online.pl 4 miesięcy temu Produkt Microsoft SharePoint Enterprise Server – wersje wcześniejsze niż 16.0.5552.1002 Microsoft SharePoint Server – wersje wcześniejsze niż 16.0.10417.20128, 16.0.19725.20280 Numer CVE CVE-2026-45659 Krytyczność 8.8/10 CVSS AV:N/AC:L/PR:L/UI:N/S:U/...

Hitachi Energy informuje o nowych podatnościach w ...

cert.pse-online.pl 4 miesięcy temu Hitachi Energy informuje o nowych podatnościach w swoich produktach.

Podatność w oprogramowaniu bzip2

cert.pl 4 miesięcy temu W oprogramowaniu bzip2 wykryto podatność typu Out-of-bounds Write (CVE-2026-42250).

7-Zip podatny na NTFS Heap Overflow

kapitanhack.pl 4 miesięcy temu Jaroslav Lobačevski z GitHub Security Lab opublikował analizę nowej podatności odnalezionej w 7-Zip, oznaczonej jako GHSL-2026-140. Luka dotyczy parsera NTFS i prowadzi do uszkodzenia pamięci procesu, co w określonych warunkach może stworzyć możliwoś...

Eksploity wspierane przez AI rozwijają się szybcie...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Sztuczna inteligencja coraz mocniej wpływa na krajobraz cyberbezpieczeństwa, zwłaszcza w obszarze analizy nowo ujawnionych podatności i przygotowywania metod ich wykorzystania. Modele językowe potrafią dziś wspier...

CVE-2026-36356 w MeiG Smart FORGE_SLT711: krytyczn...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W urządzeniu MeiG Smart FORGE_SLT711 ujawniono krytyczną podatność typu OS Command Injection, która umożliwia zdalne wykonanie poleceń systemowych w systemie Linux bez wcześniejszego uwierzytelnienia. Problem doty...

Realtek rtl819x: krytyczna eskalacja uprawnień w s...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Ujawniona podatność CVE-2026-36355 dotyczy out-of-tree sterownika Wi‑Fi z rodziny Realtek rtl819x, wykorzystywanego w wielu urządzeniach sieciowych i embedded opartych na linuksowym SDK producenta. Błąd wynika z b...

CVE-2026-44262: krytyczna luka RCE w Scramble dla ...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W ekosystemie PHP i Laravel ujawniono krytyczną podatność typu Remote Code Execution (RCE) w pakiecie Scramble, wykorzystywanym do automatycznego generowania dokumentacji API. Problem oznaczono jako CVE-2026-44262...

OpenCATS 0.9.7.4 z luką SQL Injection: analiza błę...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja OpenCATS to otwartoźródłowy system ATS wykorzystywany do obsługi procesów rekrutacyjnych, zarządzania kandydatami oraz przechowywania danych związanych z HR. W ujawnionym zgłoszeniu bezpieczeństwa opisano podatnoś...

Linux Kernel: lokalna eskalacja uprawnień przez za...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W publicznym obiegu pojawił się opis nowego łańcucha lokalnej eskalacji uprawnień w jądrze Linux, oznaczonego jako CVE-2026-43284 oraz CVE-2026-43500. Scenariusz ataku dotyczy błędów logicznych i korupcji pamięci ...

EspoCRM 9.3.3 z luką SSRF: CVE-2026-33534 umożliwi...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W EspoCRM ujawniono podatność typu Server-Side Request Forgery (SSRF), oznaczoną jako CVE-2026-33534. Problem dotyczy mechanizmu pobierania zasobów z adresów URL po stronie serwera i pozwala uwierzytelnionemu użyt...

CVE-2026-6815 w Casdoor: path traversal umożliwia ...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W Casdoor ujawniono podatność oznaczoną jako CVE-2026-6815, związaną z błędem typu path traversal w komponencie obsługującym dostawcę pamięci „Local File System”. Luka pozwala uwierzytelnionemu użytkownikowi z pod...

Krytyczna luka RCE w Microsoft SharePoint (CVE-202...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Microsoft opublikował poprawki dla krytycznej podatności w SharePoint oznaczonej jako CVE-2026-45659. Luka dotyczy zdalnego wykonywania kodu i wynika z niebezpiecznej deserializacji niezaufanych danych. W praktyce...

Krytyczna luka w Pretalx umożliwiała przejęcie kon...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W oprogramowaniu Pretalx, popularnej otwartoźródłowej platformie do obsługi call for papers oraz harmonogramowania konferencji, ujawniono poważną podatność bezpieczeństwa. Problem dotyczył błędu typu stored XSS, k...

Krytyczna luka w Gitea ujawnia prywatne obrazy kon...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W ekosystemie DevOps i software supply chain rejestry kontenerów odgrywają kluczową rolę, ponieważ przechowują obrazy wykorzystywane do budowy, testowania i wdrażania aplikacji. Każda nieprawidłowość w egzekwowani...

CISA daje federalnym agencjom cztery dni na załata...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Amerykańska agencja CISA ostrzegła przed krytyczną podatnością w użytkowej wtyczce cPanel dostarczanej przez LiteSpeed. Luka oznaczona jako CVE-2026-48172 jest już aktywnie wykorzystywana w atakach i może prowadzi...

Krytyczna luka zero-day w KnowledgeDeliver pozwala...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja W platformach opartych na ASP.NET bezpieczeństwo danych stanu aplikacji zależy między innymi od prawidłowej konfiguracji mechanizmu ViewState oraz adekwatnego zarządzania kluczami kryptograficznymi. Incydent dotyc...

Podatności w oprogramowaniu central telefonicznych...

cert.pl 4 miesięcy temu W oprogramowaniu central telefonicznych Slican wykryto 3 podatności różnego typu (CVE-2026-35087, CVE-2026-35089 oraz CVE-2026-35090)

Luka w Ghost CMS wykorzystana do kampanii ClickFix...

securitybeztabu.pl 4 miesięcy temu Wprowadzenie do problemu / definicja Ghost CMS stał się celem szeroko zakrojonej kampanii kompromitacji stron internetowych, w której napastnicy wykorzystali załataną już podatność SQL Injection oznaczoną jako CVE-2026-26980. Problem nie wynikał z po...