TheNote
cisa.gov | Bulletins на русско... Заметка
GooglePlay AppStore

cisa.gov | Bulletins на русском

На сайте Агентства по кибербезопасности и инфраструктурной безопасности (CISA) можно найти множество информации о защите критической инфраструктуры и повышении уровня кибербезопасности. На нем представлены ресурсы для предприятий, государственных учреждений и частных лиц, позволяющие понять и устранить риски кибербезопасности. Среди основных функций - предупреждения об угрозах, передовые методы обеспечения безопасности и рекомендации по реагированию на инциденты. Кроме того, на сайте представлены обновления о возникающих угрозах и уязвимостях, а также инструменты и услуги, которые помогут повысить уровень безопасности вашей организации.
Bulletins cisa.gov
RSS feeds.feedburner.com
cisa.gov | Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

Резюме уязвимостей за неделю с 25 мая 2026 года

Были обнаружены несколько уязвимостей высокого уровня в различных продуктах, включая MaxKB, Woocommerce Envato Affiliates и облачную платформу Acrel Electrical's EEMS Enterprise Power Operation and Maintenance. Уязвимость MaxKB позволяет неавторизованным атакующим вызывать триггеры веб-хуков и выполнять привязанные задачи, в то время как уязвимость Woocommerce Envato Affiliates позволяет получить доступ к функциональности, не ограниченной должным образом списками контроля доступа (ACL). Облачная платформа Acrel Electrical's EEMS Enterprise Power Operation and Maintenance имеет несколько уязвимостей, включая уязвимости SQL-инъекции и обхода пути.Другие продукты с обнаруженными уязвимостями включают AgataSoft Auto PingMaster, который содержит уязвимость переполнения буфера на основе стека, и agno, который содержит уязвимость SQL-инъекции в бэкенде векторной базы данных ClickHouse. AiOPMSD Final имеет несколько уязвимостей SQL-инъекции, которые позволяют неавторизованным атакующим выполнять произвольные SQL-запросы.Библиотека airjp73 rvf имеет уязвимость загрязнения прототипа, которая позволяет атакующим задавать произвольные свойства объекта Object.prototype запущенного серверного процесса. Библиотека amir20 dozzle имеет уязвимость, которая позволяет атакующим отправлять HTTP POST-запрос на указанный URL с заголовками запроса, контролируемыми атакующим.Дублирование страницы и поста Arjun Thakur имеет уязвимость неправильной нейтрализации специальных элементов, используемых в SQL-команде, в то время как auth0.js от auth0 имеет уязвимость, которая может неправильно возвращать информацию о профиле пользователя с использованием действительного токена доступа, когда предоставляется специально созданный недействительный токен ID. 3ds Max от Autodesk имеет несколько уязвимостей, включая уязвимости записи за пределами границ и повреждения памяти.Taipy от Avaiga имеет уязвимость обхода пути, которая позволяет неавторизованным атакующим выйти за пределы намеченного каталога модуля, в то время как операционная система PPT30 от B&R Industrial Automation GmbH имеет уязвимость выделения ресурсов без ограничений или ограничения. Babel имеет уязвимость, которая может вызвать генерацию кода, выполняющего произвольный код, а BentoML от bentoml имеет несколько уязвимостей, включая уязвимость, которая позволяет злонамеренным файлам bento.yaml контрабандой произвольных директив Dockerfile в сгенерированный Dockerfile.Эти уязвимости могут быть использованы атакующими для получения неавторизованного доступа, выполнения произвольного кода или вызова других злонамеренных эффектов, и пользователям рекомендуется обновиться до последних версий затронутых продуктов, чтобы смягчить эти риски. Оценки CVSS для этих уязвимостей варьируются от 7,1 до 8,8, что указывает на высокий уровень серьезности.
Vulnerability Summary for the Week of May 25, 2026 cisa.gov
RSS Hunter RSS Hunter • 1 июн.

Резюме уязвимостей за неделю с 18 мая 2026 года

Несколько программных продуктов демонстрируют критические уязвимости, подвергая системы различным рискам безопасности. Переполнения буфера на основе стека существуют в 10-Strike Network Inventory Explorer и Audiograbber, что позволяет выполнять произвольный код. 10-Strike Network Scanner также имеет переполнение буфера, позволяющее выполнять код. Несколько продуктов, таких как 10Web Form Maker, SOGo Webmail и Smartshop, уязвимы для внедрения SQL, что позволяет получить несанкционированный доступ и манипулировать данными. Продукты AWS, включая Amazon Braket SDK и соединитель Amazon Redshift для Python, имеют уязвимости, позволяющие выполнять код или выкачивать данные. Kiro CLI и RabbitMQ AWS представляют риски произвольного выполнения инструментов и чтения файлов соответственно. Typebot.io, конструктор чат-ботов, страдает от нескольких уязвимостей, таких как SSRF и XSS, что приводит к краже учетных данных и повышению привилегий. LiteLLM имеет уязвимости повышения привилегий через генерацию ключей API и изменение роли пользователя. В Basamak DernekWeb существует уязвимость межсайтового скриптинга, позволяющая выполнять атаки с хранимыми XSS. Наконец, в зарядной станции Besen BS20 EV была обнаружена уязвимость.
Vulnerability Summary for the Week of May 18, 2026 cisa.gov
RSS Hunter RSS Hunter • 26 мая

Резюме уязвимостей за неделю с 11 мая 2026 года

Предоставленный текст описывает несколько уязвимостей высокой степени тяжести в различных программных продуктах. ACL Analytics имеет уязвимость к выполнению произвольного кода, позволяющую атакующим использовать функцию EXECUTE. GitBucket страдает от уязвимости к удаленному выполнению кода без аутентификации, связанной с генерацией секретных токенов. Плагины WordPress, включая Peugeot Music и WP Super Edit, имеют уязвимости при загрузке файлов. Ecommerce Systempay имеет проблему со слабой криптографией, уязвимую для метода перебора ключей. iDS6 DSSPro обходит защиту CAPTCHA, а libbabl имеет проблему с обнаружением двойного освобождения памяти. Python jsonpickle позволяет выполнять удаленный код через десериализацию. Несколько продуктов, включая Zechat, расширения Joomla! и веб-сервер Nordex Wind Turbine, уязвимы к внедрению SQL-кода. Atomic Alarm Clock имеет переполнение стека, а HS Brand Logo Slider позволяет загружать файлы без ограничений. Кроме того, VX Search и Allok splitters также имеют уязвимости к переполнению буфера.
Vulnerability Summary for the Week of May 11, 2026 cisa.gov
RSS Hunter RSS Hunter • 18 мая

Резюме уязвимостей за неделю с 27 апреля 2026 года

Было выявлено несколько уязвимостей в различных программных и аппаратных продуктах. OVMS3 3.3.005 демонстрирует переполнение буфера в canformat_gvret.cpp, что потенциально может привести к отказу в обслуживании или выполнению кода. Маршрутизаторы Tenda, включая W308R, W3002R и FH303/A300, страдают от слабых мест в сессиях cookie, что позволяет манипулировать DNS. Версии Weaver E-office до 10.0_20221201 уязвимы к неаутентифицированной загрузке произвольных файлов. Synway SMG Gateway Management имеет недостаток в виде внедрения команд ОС в конфигурации RADIUS. Плагины Directorist Booking и Directorist Social Login восприимчивы к внедрению SQL и повышению привилегий соответственно. Камеры Milesight AIOT используют SSL-сертификаты по умолчанию со слабыми ключами. AGL app-framework-main уязвим к обходу пути Zip Slip. Cannelloni v2.0.0 также имеет проблему переполнения буфера. Carlson VASCO-B GNSS Receiver не имеет аутентификации, что позволяет несанкционированно изменять конфигурацию. Наконец, несколько приложений, включая Prime95, XATABoost CMS и другие, представляют различные переполнения буфера и уязвимости выполнения кода.
Vulnerability Summary for the Week of April 27, 2026 cisa.gov
RSS Hunter RSS Hunter • 5 мая

Резюме уязвимостей за неделю с 1 декабря 2025 года

Плагин WordPress 10Web Booster имеет критическую уязвимость, позволяющую аутентифицированным подписчикам удалять произвольные папки из-за недостаточной валидации пути к файлу. Версии Advantech iView до 5.7.05.7057 уязвимы для SQL-инъекций через неочищенные запросы SNMP v1 trap. Расширение Aimeos GrapesJS CMS уязвимо для хранимого XSS, если отключена политика безопасности контента, с исправлениями в определенных версиях. Плагин Ajitdas Flex QR Code Generator позволяет осуществлять произвольную загрузку файлов неаутентифицированными атакующими из-за отсутствия валидации типа файла. Платформа Akamai Guardicore для Windows имеет уязвимость локального повышения привилегий; не привилегированные пользователи могут получить привилегии SYSTEM, создавая специально созданный файл конфигурации. Версии BILGER компании Argus Technology Inc. до 2.4.9 имеют уязвимость вставки информации, связанную с идентификаторами сообщений. Версии ArrayOS AG компании Array Networks до 9.4.5.9 уязвимы для внедрения команд, с зарегистрированными активными эксплуатациями. Версии node-jws компании Auth0 до 3.2.2 и 4.0.0 имеют уязвимость неправильной верификации подписи при использовании алгоритма HS256. Антивирус Avast затронут несколькими уязвимостями в Windows и macOS, включая повышение привилегий, выполнение кода и отказ в обслуживании, с различными затронутыми версиями. Библиотека протокола BACnet Protocol Stack имеет уязвимость отказа в обслуживании из-за чтения вне границ в функции npdu_is_expected_reply.
Vulnerability Summary for the Week of December 1, 2025 cisa.gov
RSS Hunter RSS Hunter • 8 дек. 2025 г.

Обзор уязвимостей за неделю с 24 ноября 2025 года

В конце ноября 2025 года в различных программных продуктах были обнаружены несколько критических уязвимостей. Сервер MCP HexStrike AI уязвим для внедрения команд, что потенциально позволяет повысить привилегии до уровня root. Продукты AMD, включая AMD uProf и Xilinx Run Time (XRT), имеют проблемы, начиная от обхода KSLR и заканчивая переполнением целых чисел и использованием освобожденной памяти. ASR Lapwing_Linux содержит уязвимость чтения за пределами границ, а плагин Blubrry PowerPress для WordPress позволяет загружать произвольные файлы. Chanjet CRM и несколько приложений code-projects, включая COVID Tracking System, Jonnys Liquor, Library System и Question Paper Generator, уязвимы для атак внедрения SQL-кода. Программное обеспечение Cursor имеет уязвимость внедрения команд, позволяющую выполнять произвольный код. Dassault Systmes DELMIA Service Process Engineer и ENOVIA Product Manager подвержены уязвимостям хранения межсайтовых скриптов. Тема Tiger для WordPress и плагин FindAll Listing страдают от повышения привилегий, а плагин FindAll Membership имеет недостаток обхода аутентификации. Программное обеспечение Eaton Galileo уязвимо для обхода пути, что позволяет выполнять несанкционированный код, а фреймворк FACTION позволяет удаленно выполнять код через ненадежные расширения.
Vulnerability Summary for the Week of November 24, 2025 cisa.gov
RSS Hunter RSS Hunter • 1 дек. 2025 г.

Резюме уязвимостей за неделю с 17 ноября 2025 года

Данный документ описывает несколько уязвимостей высокой степени тяжести в различных программных продуктах от разных производителей. ABB Ability Edgenius имеет уязвимость обхода аутентификации, а AMD StoreMI содержит уязвимости кражи DLL и неправильных разрешений. Плагин Vitepos Point of Sale (POS) для WooCommerce страдает от проблемы произвольной загрузки файлов. Несколько уязвимостей влияют на чип Broadcom BCM5820X в Dell ControlVault, включая повышение привилегий, зашитые пароли и переполнение буфера. Множественные уязвимости чтения и записи вне границ также влияют на тот же чип Broadcom. Плагин URL Image Importer для WordPress имеет уязвимость произвольной загрузки файлов. Наконец, несколько продуктов Campcodes, включая Систему онлайн-опросов и Систему управления платежами за обучение, подвержены уязвимостям SQL-инъекций. Каждой уязвимости присвоен идентификатор CVE, балл CVSS и включены ссылки на соответствующую исходную информацию и детали патчей, где применимо.
Vulnerability Summary for the Week of November 17, 2025 cisa.gov
RSS Hunter RSS Hunter • 24 нояб. 2025 г.

Обзор уязвимостей за неделю с 10 ноября 2025 года

Текст описывает несколько уязвимостей высокой степени опасности в различных программных и аппаратных продуктах. Эти уязвимости варьируются от раскрытия конфиденциальной информации до удаленного выполнения кода и повышения привилегий. Затронуты несколько плагинов WordPress, включая TNC Toolbox, WP for CPI, EasyCommerce и Holiday class post calendar. Системы IBM AIX и VIOS сталкиваются с несколькими проблемами, включая выполнение команд и небезопасное хранение ключей. Продукты SAP, D-Link, Dell и Microsoft также подвержены критическим уязвимостям. Другие затронутые продукты включают General Industrial Controls Lynx+ Gateway, TrioFox, pgAdmin и Zohocorp ManageEngine Analytics Plus. Некоторые уязвимости позволяют выполнять произвольную загрузку файлов, несанкционированный доступ и полную компрометацию системы. Конкретные проблемы включают переполнение буфера на основе стека в D-Link DIR-816L и уязвимость SSRF в charmbracelet soft-serve. Текст содержит номера CVE, оценки CVSS и ссылки на дополнительную информацию и сведения об исправлениях для каждой уязвимости. Также перечислены несколько поставщиков, включая Avast и Fortinet, с подробной информацией об их уязвимостях.
Vulnerability Summary for the Week of November 10, 2025 cisa.gov
RSS Hunter RSS Hunter • 17 нояб. 2025 г.

Сводка уязвимостей за неделю с 22 сентября 2025 г.

В Flowise AI версия Flowise 3.0.5 имеет критическую уязвимость удаленного выполнения кода, при которой пользовательский ввод в узле CustomMCP выполняется как JavaScript без проверки. Это позволяет получить доступ к конфиденциальным модулям Node.js и было исправлено в версии 3.0.6. WooCommerce Designer Pro от HaruTheme, до версии 1.9.24, страдает от уязвимости неконтролируемой загрузки файлов. Программное обеспечение enVision от Iron Mountain испытывает проблемы с внедрением команд до версии 250563. Inka.Net от TalentSys Consulting также имеет проблемы с внедрением команд до версии 6.7.1. Плагин Podlove Podcast Publisher для WordPress, до версии 4.2.6, позволяет загружать произвольные файлы через функцию 'move_as_original_file'. Плагин WooCommerce Uni CPO (Premium), до версии 4.9.54, имеет аналогичные уязвимости загрузки произвольных файлов. Пакет системы сборки Nx от Red Hat и его плагины были скомпрометированы в результате атаки на цепочку поставок, в ходе которой были украдены учетные данные. Adaptive Security Appliance и программное обеспечение Threat Defense от Cisco имеют уязвимости, позволяющие выполнять произвольный код через специально сформированные HTTP-запросы. Программное обеспечение IOS, IOS XE и IOS XR от Cisco также имеет недостатки в выполнении кода из-за неправильной проверки ввода в HTTP-запросах. Процессоры Qualcomm Snapdragon имеют уязвимости повреждения памяти при обработке RTP-пакетов и во время выбора PLMN. SolarWinds Web Help Desk имеет уязвимость удаленного выполнения кода из-за неаутентифицированной десериализации. Acropolis от Airship AI уязвим из-за учетной записи администратора по умолчанию со статическими учетными данными. База данных веб-приложения WAGO Device Sphere раскрывается без аутентификации. Плагин Custom Post Type Images для WordPress от Yonisink имеет уязвимость CSRF, ведущую к внедрению кода. Облачный Flowise испытал утечку данных между арендаторами через узел Custom JavaScript Function. Модуль Prompt в DNN Platform, до версии 10.1.0, позволяет выполнять скрипты. Horilla HRMS имеет уязвимость хранимого XSS в редакторе комментариев к тикетам. ADB MCP Server уязвим к внедрению команд в определениях своих инструментов. Flag Forge CTF имеет проблемы с инвалидацией сеансов, позволяющие аутентифицированным пользователям продолжать доступ после выхода из системы.
Vulnerability Summary for the Week of September 22, 2025 cisa.gov
RSS Hunter RSS Hunter • 29 сент. 2025 г.

Обзор уязвимостей за неделю с 15 сентября 2025 года

Выявлено несколько программных продуктов с уязвимостями высокой степени опасности, многие из которых являются уязвимостями типа SQL-инъекций. Эти уязвимости позволяют злоумышленникам потенциально внедрять вредоносный код или обходить меры безопасности. Fortra GoAnywhere MFT имеет уязвимость десериализации, позволяющую внедрять команды. Spring Cloud Gateway подвержен модификации свойств Spring Environment при определенных условиях. Маршрутизаторы Tenda AC1206 страдают от переполнения буфера на основе стека. Тема WordPress "Goza" позволяет несанкционированно загружать файлы, что потенциально может привести к удаленному выполнению кода. Сервер NVIDIA Triton Inference Server уязвим для удаленного выполнения кода из-за своего Python-бэкенда. Несколько других продуктов, включая устройства Dover Fueling Solutions и SINAV.LINK от BGS Interactive, также имеют уязвимости типа SQL-инъекций. BMC Control-M/Agent имеет уязвимости обхода аутентификации, а Dyad уязвим для произвольного выполнения кода. Linkr не имеет проверки манифеста, что приводит к потенциальному внедрению файлов и удаленному выполнению кода. Наконец, Jinjava и Chaos Controller Manager имеют уязвимости, позволяющие удаленно выполнять код и полностью захватывать кластер.
Vulnerability Summary for the Week of September 15, 2025 cisa.gov
RSS Hunter RSS Hunter • 22 сент. 2025 г.

Сводка уязвимостей за неделю с 8 сентября 2025 г.

В данном отчете подробно описаны многочисленные уязвимости высокого уровня, затрагивающие различные программные продукты. Продукты Adobe сильно затронуты: Acrobat Reader, Adobe Commerce и ColdFusion подвержены уязвимостям, ведущим к выполнению кода или захвату сеанса. Adobe Experience Manager имеет обход функции безопасности, в то время как Dreamweaver и Premiere Pro также сталкиваются с рисками выполнения кода. Множественные уязвимости обнаружены в приложениях Adobe Substance3D Modeler и Viewer, в основном связанные с повреждением памяти и ведущие к выполнению кода. BIOS AptioV от AMI содержит уязвимости, позволяющие раскрывать информацию и записывать данные. Плагины WordPress, такие как LWS Cleaner и Goza, уязвимы к произвольному удалению файлов, что потенциально может привести к удаленному выполнению кода. JavaScript-библиотека Axios имеет уязвимость отказа в обслуживании при обработке URI данных. Axxon One VMS от AxxonSoft затронут множеством проблем, включая использование неуправляемых сторонних компонентов и уязвимых версий PostgreSQL, что создает риски выполнения кода и повышения привилегий. Сетевые устройства Baicells демонстрируют серьезные уязвимости, такие как учетные данные по умолчанию, жестко закодированные учетные данные и недокументированные функции, некоторые из которых оценены в CVSS 10. TwinCAT 3 Engineering от Beckhoff имеет уязвимость, позволяющую выполнять команды через манипулированные файлы проектов. Устройства Bender CC612 раскрывают учетные данные и передают конфиденциальные данные небезопасным способом. Campcodes Connector для WordPress позволяет повышать привилегии через неправильную конфигурацию JWT. Несколько систем Campcodes, включая Grocery Sales and Inventory System и Online Loan Management System, уязвимы к SQL-инъекциям в своих AJAX-конечных точках.
Vulnerability Summary for the Week of September 8, 2025 cisa.gov
RSS Hunter RSS Hunter • 15 сент. 2025 г.

Обзор уязвимостей за неделю с 1 сентября 2025 года

Предоставленный текст перечисляет многочисленные уязвимости высокой степени тяжести, влияющие на различные программные продукты. Внедрение SQL-кода является повторяющейся уязвимостью, обнаруженной в нескольких системах, включая систему управления салоном красоты 1000projects и несколько систем Campcodes. Неправильное ограничение чрезмерных попыток аутентификации позволяет обойти аутентификацию во многих продуктах Akinsoft, таких как e-Mutabakat и LimonDesk. Перекрестное запросное подделывание (CSRF) присутствует в aakash1911 WP likes и Akınsoft QR Menü. Процессоры и графические продукты AMD подвержены проблемам, таким как неправильная очистка, путаница типов и неправильная проверка входных данных, что может привести к потенциальному выполнению кода или потере данных. Argo CD сталкивается с критической уязвимостью, позволяющей токенам API извлекать конфиденциальные учетные данные репозитория. Другие уязвимости включают отраженный XSS, локальное включение файлов PHP и отсутствие аутентификации. Многие из этих эксплойтов доступны публично и могут быть использованы удаленно. Перечисленные уязвимости варьируются по баллам CVSS, причем некоторые достигают критических уровней, таких как 9,8 и 10.
Vulnerability Summary for the Week of September 1, 2025 cisa.gov
RSS Hunter RSS Hunter • 8 сент. 2025 г.

Сводка уязвимостей за неделю с 25 августа 2025 года.

Уязвимость SQL-инъекции существует в 1000projects Online Project Report Submission and Evaluation System 1.0, что позволяет удаленным злоумышленникам манипулировать аргументом batch_id. Yahoo! WebPlayer версий до 2.0.6 подвержен влиянию отраженного межсайтового скриптинга (XSS). WPMU Ldap Authentication версий до 5.0.1 страдает от подделки межсайтовых запросов (CSRF), что приводит к хранимому XSS. Drag and Drop File Upload для Elementor Forms версий до 1.5.3 имеет уязвимость Unrestricted File Upload, позволяющую загружать веб-оболочки. Agiloft Release 28 содержит критически важные системные пакеты, загруженные по небезопасному протоколу HTTP, и содержит учетные данные по умолчанию для повышения привилегий. QbiCRMGateway от Ai3 имеет уязвимость чтения произвольных файлов через Relative Path Traversal. Платформы Arista EOS могут принимать вредоносные UDP-пакеты через порт 3503. Плагин Poll, Survey & Quiz Maker для версии Opinion Stage до 19.11.0 позволяет включать локальные файлы PHP. Версии Asterisk до 20.15.2, 21.10.2 и 22.5.2 имеют уязвимость к сбою в res_pjsip_authenticator_digest из-за неправильной обработки заголовков авторизации SIP. Лента Tiktok от bPlugins версий до 1.0.21 имеет уязвимость Missing Authorization.
Vulnerability Summary for the Week of August 25, 2025 cisa.gov
RSS Hunter RSS Hunter • 2 сент. 2025 г.

Сводка уязвимостей за неделю с 18 августа 2025 года

Несколько программных продуктов были идентифицированы с существенными уязвимостями. Версии VaulTLS до 0.9.1 страдают от обхода аутентификации, позволяя входу с пустыми паролями. Elite Video Player до версии 10.0.5 имеет уязвимость кросс-сайта скриптинга. Ads.txt Guru Connect до версии 1.1.1 подвержен кросс-сайта запроса подделки. Версии Audiobookshelf от 2.6.0 до 2.26.3 имеют уязвимость OpenID Connect callback, ведущую к захвату учетной записи. Aiven-db-migrate до версии 1.0.7 содержит ошибки эскалации привилегий в миграциях PostgreSQL. BuddyPress XProfile Custom Image Field до версии 3.0.1 позволяет обход по пути. FunnelKit Automations и плагины Funnel Builder раскрывают чувствительную информацию через shortcode. Pin WP до версии 7.2 позволяет неограниченную загрузку файлов опасных типов. Eventin AI Powered Event Manager до версии 4.0.37 имеет уязвимость серверного запроса подделки. Ashlar-Vellum Cobalt и связанные продукты до версии 12.6.1204.204 имеют множественные уязвимости, ведущие к произвольному выполнению кода из-за неправильного парсинга файлов. AVEVA PI Integrator позволяет аутентифицированным пользователям сохранять исполняемые файлы. NEX-Forms до версии 9.1.3 уязвим к CSRF. ZoloBlocks до версии 2.3.2 имеет уязвимость удаленного включения файлов PHP. Belkin AX1800 версии 1.1.00.016 имеет уязвимость обработчика обновления фирмвари. Screenshot-desktop до версии 1.15.2 позволяет инъекцию команд. SEOPress для MainWP до версии 1.4 имеет уязвимость удаленного включения файлов PHP. Oik до версии 4.15.2 имеет уязвимость кросс-сайта скриптинга. SureDash до версии 1.0.3 имеет неправильное назначение привилегий. Bravis User и Case Theme User плагины до версий 1.0.0 и 1.0.3 соответственно имеют уязвимости обхода аутентификации. Centreon web версии подвержены уязвимостям инъекции SQL в журналах событий и страницах индикаторов мета-сервиса. Caliris до версии 1.5 и Paid Member Subscriptions до версии 2.15.4 имеют уязвимости удаленного включения файлов PHP. WP Webhooks до версии 3.3.5 позволяет произвольную копию файлов. CM Map Locations до версии 2.1.6 имеет уязвимость кросс-сайта скриптинга.
Vulnerability Summary for the Week of August 18, 2025 cisa.gov
RSS Hunter RSS Hunter • 25 авг. 2025 г.

Сводка уязвимостей за неделю с 11 августа 2025 года

Несколько критических уязвимостей были публично раскрыты и потенциально могут быть эксплуатированы. Система управления продажами 1000 Projects, версия 1.0, подвержена множественным уязвимостям инъекции SQL в различных файлах PHP, что позволяет проводить удаленные атаки. Официальная система управления документами 2100 Technology имеет критическую уязвимость обхода аутентификации, что позволяет неавторизованным пользователям получать токены подключения и получать доступ. Плагин Assistant for NextGEN Gallery для WordPress имеет уязвимость удаления директории, что может привести к полной потере доступности. Продукты ABB, включая ASPECT и ABB AbilityTM zenon, демонстрируют различные проблемы, такие как инъекция кода, неправильно защищенные учетные данные, обход авторизации и отсутствие аутентификации для критических функций. WP REST Cache от Acato имеет уязвимость удаленного включения файлов PHP. Версии Adobe Commerce, предшествующие определенным исправлениям, подвержены атакам Cross-Site Request Forgery и хранимому Cross-Site Scripting, что может привести к повышению привилегий и компрометации данных. Adobe Commerce также страдает от неправильной валидации ввода, что может привести к отказу в обслуживании и неправильной авторизации, позволяющей обойти безопасность. Многие продукты Adobe, включая Framemaker, Animate, Illustrator, InCopy и InDesign Desktop, имеют различные уязвимости коррупции памяти, такие как использование после освобождения, записи за пределами границ и переполнение буфера. Эти уязвимости Adobe обычно требуют взаимодействия пользователя, часто через открытие вредоносных файлов, для выполнения произвольного кода. Общая степень опасности этих раскрытых уязвимостей является высокой, с оценками CVSS, значительно варьирующимися.
Vulnerability Summary for the Week of August 11, 2025 cisa.gov
RSS Hunter RSS Hunter • 18 авг. 2025 г.

Краткое описание уязвимостей за неделю с 4 августа 2025 года

Версии Adobe Experience Manager 6.5.23 и ниже уязвимы к неправильной конфигурации, что позволяет выполнить произвольный код и привести к чтению файловой системы через XXE. Версии ADOdb 5.22.9 и ниже имеют уязвимость инъекции SQL в определенных методах при использовании с SQLite. Плагин Eventin для WordPress, до версии 4.0.34, позволяет повысить привилегии через захват учетной записи. Autodesk 3ds Max подвержен выполнению произвольного кода из-за повреждения памяти и выхода за границы массива при обработке файлов RBG и TGA. Belkin F9K1009 и F9K1010 версий 2.00.04/2.00.09 содержат критические хард-кодированные учетные данные в веб-интерфейсе. Устройства Burk Technology ARC Solo позволяют неаутентифицированным атакующим изменять пароль администратора. Библиотека react-native-bottom-tabs, до версии 0.9.2, имеет уязвимость в workflow, позволяющую выполнить произвольный код и эксфильтрацию секретов. Версии GLPI-screenshot-plugin ниже 2.0.2 позволяют аутентифицированным пользователям утечку файлов или использовать PHP-оболочки. CesiumLab Web до версии 4.0 имеет критическую уязвимость инъекции SQL, затрагивающую компонент lodmodels. Плагин CleverReach WP для WordPress, до версии 1.5.20, уязвим к временной инъекции SQL через параметр 'title'. Code-projects Online Medicine Guide 1.0 и Simple Art Gallery 1.0 страдают от критических уязвимостей инъекции SQL. CODESYS Control RTE (SL) позволяет атакующим с низкими привилегиями читать и записывать сертификаты и ключи, а также имеет уязвимость NULL-указателя. Версии Cursor code editor ниже 1.3.9 позволяют атакующим записывать файлы workspace без одобрения, что может привести к RCE. Клиент Assemblyline 4 Service, до версии 4.6.1.dev138, уязвим к обходу пути. Версии LibreChat от 0.0.6 до 0.7.7-rc1 открывают тестовый конец, позволяющий читать любые чаты. Релизы DELMIA Apriso от 2020 до 2025 имеют пропущенные авторизации и уязвимости инъекции кода. Версии Dell Avamar до 19.12 имеют уязвимость доверия HTTP-методов на сервере. Версии Dell Digital Delivery до 5.6.1.0 имеют недостаточно защищенные учетные данные. Версии Dell ECS до 3.8.1.5 и ObjectScale 4.0.0.0 используют хард-кодированные криптографические ключи. Операционная система Dell Enterprise SONiC OS версии 4.5.0 имеет уязвимость криптографического ключа в SSH. Версии Dell PowerProtect Data Domain и DD OS имеют уязвимость обхода аутентификации путем подделки.
Vulnerability Summary for the Week of August 4, 2025 cisa.gov
RSS Hunter RSS Hunter • 11 авг. 2025 г.

Краткое описание уязвимостей за неделю, начинающуюся 28 июля 2025 года

Несколько программных продуктов содержат критические уязвимости, представляющие значительные риски для безопасности. Эти уязвимости варьируются от атак типа «отказ в обслуживании» до удаленного выполнения кода и повышения привилегий. Затронутые программные продукты включают vproxy, 1Panel, Copyparty, PowerCMS и Pearcleaner, среди прочих. Уязвимости возникают из-за различных причин, таких как небезопасное обращение с пользовательским вводом, неполная верификация сертификатов и недостаточная валидация ввода. Многие уязвимости позволяют злоумышленникам выполнять произвольный код, компрометировать безопасность системы и потенциально украсть чувствительные данные. Патчи доступны для некоторых из выявленных уязвимостей, но другие остаются неисправленными. Оценки по системе оценки уязвимостей (CVSS) варьируются от 7,2 до 9,9, указывая на высокий уровень серьезности. Эксплоиты для некоторых уязвимостей доступны публично, что увеличивает срочность обновлений и мер по смягчению последствий. Организациям, использующим эти продукты, следует приоритизировать применение патчей безопасности немедленно.
Vulnerability Summary for the Week of July 28, 2025 cisa.gov
RSS Hunter RSS Hunter • 4 авг. 2025 г.

Сводка уязвимостей за неделю с 21 июля 2025 года

В различных программных системах обнаружены множественные уязвимости, включая систему управления курьерской службой ABC от 1000 Projects, интеграцию Dataverse от alexacrm, RTF8207w от ASKEY, RealDWG и Revit от Autodesk, клиент VPN от AWS, ScadaWatt Otopilot от Bayraktar Solar Energies, Comdb2 от Bloomberg, универсальную систему оплаты bSecure от bsecuretech, систему управления продажами и инвентарем от Campcodes, MAAS от Canonical, CRM от Chanjet, системы сбора пожертвований, подачи экзаменационных форм и онлайн-заказов от code-projects.Эти уязвимости включают инъекцию SQL, повышение привилегий, переполнение стека, чтение вне границ и атаки типа «отказ в обслуживании», среди прочих. Они могут быть эксплуатированы удаленно и могут позволить злоумышленникам выполнить произвольный код, захватить учетные записи или прочитать чувствительные данные.Уязвимые версии программного обеспечения варьируются от 1.0 до 8.1, и им были присвоены идентификаторы CVE и оценки CVSS от 7,3 до 9,8. Эксплоиты были раскрыты публично и могут быть использованы злоумышленниками.Пользователям рекомендуется прекратить новые установки уязвимого программного обеспечения и обновить до последних версий, чтобы смягчить эти уязвимости.
Vulnerability Summary for the Week of July 21, 2025 cisa.gov
RSS Hunter RSS Hunter • 28 июл. 2025 г.

Сводка уязвимостей за неделю с 14 июля 2025 года

Плагин aapanel WP Toolkit уязвим для привилегированного эскалации, что позволяет подписчикам получить административные привилегии. Плагин Attachment Manager до версии 2.1.2 уязвим для произвольного удаления файлов, что может привести к удаленному выполнению кода. Плагин Groundhogg от Adriana Tobey до версии 4.2.1 позволяет загружать опасные типы файлов без ограничений, что позволяет загружать веб-шеллы. Продукты Alcatel-Lucent OmniAccess Stellar имеют множественные критические уязвимости, включая инъекцию команд с правами root и подделку идентификаторов сеансов, что позволяет атакующим получить полный контроль над точками доступа. Плагин Arisoft's Contact Form 7 Editor Button имеет уязвимость Reflected XSS, а плагин Atakan Au's Import CDN-Remote Images имеет уязвимость Stored XSS через CSRF. Плагин August Infotech's Multi-language Responsive Contact Form имеет пропущенную авторизацию, что позволяет получить несанкционированный доступ к функциональности. Тематика Awethemes' Hillter имеет уязвимость десериализации, что позволяет внедрять объекты. Плагин B1.lt до версии 2.2.56 позволяет выполнить инъекцию SQL для аутентифицированных пользователей. Тематика Alone Charity Multipurpose Non-profit WordPress Theme от Bearsthemes имеет уязвимости для произвольного удаления файлов и произвольной загрузки файлов, что может привести к удаленному выполнению кода. Плагин Bears Backup до версии 2.0.0 позволяет неаутентифицированным атакующим выполнить произвольный код на сервере. BossSoft CRM 6.0 и Campcodes Online Movie Theater Seat Reservation System 1.0 уязвимы для инъекции SQL. Программное обеспечение Cisco Identity Services Engine имеет уязвимость API, что позволяет неаутентифицированным атакующим получить привилегии root. Плагин CMSJunkie's WP-BusinessDirectory до версии 3.1.3 подвержен слепой инъекции SQL. Плагин cmsMinds' Pay with Contact Form 7 имеет уязвимость Reflected XSS. Множественные системы код-проектов, включая AVL Rooms, Church Donation System и Electricity Billing System, демонстрируют критические уязвимости инъекции SQL. Наконец, chainguard-dev's apko до версии 0.29.4 имел критические проблемы с правами доступа к файлам, которые могли быть использованы для эскалации привилегий root.
Vulnerability Summary for the Week of July 14, 2025 cisa.gov
RSS Hunter RSS Hunter • 21 июл. 2025 г.

Резюме уязвимостей за неделю с 7 июля 2025 года

Обнаружены несколько высокоуязвимых проблем в различных продуктах, включая Radiflow's iSAP Smart Collector, WAGO's Wago Device Sphere и wftpserver's Wing FTP Server. Эти уязвимости позволяют выполнять удаленный код, загружать файлы произвольно и вводить команды операционной системы, среди других проблем. Оценки CVSS для этих уязвимостей варьируются от 9,1 до 10, указывая на высокий уровень серьезности. Другие затронутые продукты включают webbertakken's docusaurus-plugin-content-gists, eemitch's Simple File List и AIT Themes' AIT CSV import/export. Qualcomm's Snapdragon и Honeywell's C300 PCNT02 также имеют высокоуязвимые проблемы, включая криптографические ошибки и уязвимости целочисленного переполнения. Phoenix Contact's CHARX SEC-3150 и Adobe's Adobe Connect имеют уязвимости, которые позволяют выполнять удаленный код и десериализацию недоверенных данных. Другие затронутые продукты включают Axis Communications' AXIS Camera Station Pro, Frauscher's FDS102 и Hewlett Packard Enterprise's HPE Networking Instant On. SAP SE имеет несколько высокоуязвимых проблем в своих продуктах, включая SAP NetWeaver Application Server for Java и SAP S/4HANA. Microsoft's Windows 10 Version 1809 и Schiocco's Support Board также имеют высокоуязвимые проблемы, включая переполнение буфера на основе кучи и произвольное удаление файлов.
Vulnerability Summary for the Week of July 7, 2025 cisa.gov
RSS Hunter RSS Hunter • 14 июл. 2025 г.

Резюме уязвимостей за неделю с 30 июня 2025 года

Множество уязвимостей обнаружены в различных продуктах, включая ABB RMC-100, Alinto SOPE, aonetheme Service Finder Booking, ApusWP Kossy и asaquzzaman WP Human Resource Management. Эти уязвимости включают переполнение стека на основе буфера, повышение привилегий, удаленное включение файлов PHP и межсайтовый скриптинг. Список затронутых продуктов и версий, а также соответствующие номера CVE и оценки CVSS приведены ниже. Уязвимости могут быть эксплуатированы удаленно и могут позволить злоумышленникам переполнить буферы, повысить привилегии, внедрить код или выполнить другие вредоносные действия. Некоторые поставщики были уведомлены о раскрытии информации, но не ответили. Эксплоиты были раскрыты публично и могут быть использованы. Уязвимости затрагивают различные компоненты, включая интерфейсы REST, веб-страницы и программы PHP. Пользователям рекомендуется обновить свои продукты до последних версий, чтобы смягчить эти уязвимости. Оценки CVSS варьируются от 7,1 до 9,8, указывая на высокую или критическую степень опасности.
Vulnerability Summary for the Week of June 30, 2025 cisa.gov
RSS Hunter RSS Hunter • 7 июл. 2025 г.

Резюме уязвимостей за неделю с 23 июня 2025 года

В различных продуктах обнаружено несколько уязвимостей, включая 70mai M300, AcmeeDesign WPShapere Lite и Adrian Tobey FormLift для Infusionsoft Web Forms. Эти продукты подвержены критическим проблемам, таким как использование учетных данных по умолчанию, межсайтовая подделка запросов и межсайтовый скриптинг. Уязвимостями могут воспользоваться злоумышленники для получения несанкционированного доступа, выполнения произвольного кода или кражи конфиденциальной информации. Затронутые продукты и соответствующие им уязвимости были публично раскрыты, и пользователям рекомендуется обновить свое программное обеспечение до последних версий для снижения рисков. Система Common Vulnerabilities and Exposures (CVE) присвоила каждой уязвимости уникальные идентификаторы, такие как CVE-2025-6529 и CVE-2025-53317, для отслеживания и управления этими проблемами. Оценки CVSS, которые варьируются от 7,1 до 10, указывают на серьезность уязвимостей, причем более высокие оценки соответствуют более критическим проблемам. Поставщики затронутых продуктов были уведомлены, и некоторые выпустили исправления или обновления для устранения уязвимостей. Пользователям рекомендуется ознакомиться со списками CVE и применить необходимые исправления или обновления для защиты своих систем от потенциальных атак. Уязвимости затрагивают широкий спектр продуктов, включая плагины WordPress, веб-приложения и сетевые устройства, что подчеркивает важность регулярных обновлений безопасности и исправлений. В целом, обнаруженные уязвимости представляют значительный риск для безопасности и целостности затронутых систем, и для снижения угроз необходимы незамедлительные действия.
Vulnerability Summary for the Week of June 23, 2025 cisa.gov
RSS Hunter RSS Hunter • 30 июн. 2025 г.

Резюме уязвимостей за неделю с 16 июня 2025 года

В различных программных продуктах, включая Elite Video Player, Virtual Moderator, PostaPanduri, WP Front User Submit / Front Editor и другие, обнаружены множественные уязвимости. Эти уязвимости включают межсайтовый скриптинг (XSS), межсайтовую подделку запросов (CSRF), инъекцию SQL и произвольные загрузки файлов. Список затронутых продуктов и версий, а также даты публикации и оценки CVSS приведены ниже. Уязвимости могут быть использованы злоумышленниками для инъекции вредоносных скриптов, кражи чувствительных данных или захвата контроля над затронутыми системами. В некоторых случаях уязвимости могут быть эксплуатированы удаленно, а в других случаях требуется аутентификация. Эксплоиты были раскрыты публично и могут быть использованы злоумышленниками. Патчи и обновления были выпущены для исправления некоторых уязвимостей, в то время как другие остаются неисправленными. Пользователям рекомендуется обновить свое программное обеспечение и принять необходимые меры предосторожности, чтобы предотвратить эксплуатацию. Уязвимости получили идентификаторы CVE и были оценены по степени их опасности. Список затронутых продуктов и поставщиков, а также подробности уязвимостей и их потенциального воздействия приведены ниже.
Vulnerability Summary for the Week of June 16, 2025 cisa.gov
RSS Hunter RSS Hunter • 23 июн. 2025 г.

Краткий обзор уязвимостей за неделю с 9 июня 2025 года

Утилита Acer ControlCenter имеет уязвимость удаленного выполнения кода из-за неправильной настройки именованного канала Windows, что позволяет удаленным атакующим выполнять произвольный код с повышенными привилегиями. Читатель Adobe Acrobat имеет несколько уязвимостей, включая уязвимости использования после освобождения и записи за пределами границ, что может привести к выполнению произвольного кода в контексте текущего пользователя. Adobe Commerce имеет несколько уязвимостей, включая хранимую межсайтовую подстановку и уязвимости неправильной авторизации, что может привести к обходу функций безопасности и повышению привилегий. Adobe Experience Manager имеет уязвимости отраженной межсайтовой подстановки и неправильной авторизации, что может привести к захвату сеанса. Adobe InCopy и InDesign Desktop имеют несколько уязвимостей, включая переполнение целочисленного буфера, переполнение кучи и уязвимости использования после освобождения, что может привести к выполнению произвольного кода в контексте текущего пользователя. Adobe Substance3D - Painter и Sampler имеют уязвимости записи за пределами границ, что может привести к выполнению произвольного кода в контексте текущего пользователя. Модуль оплаты Multi CryptoCurrency Payments от Alex Zaytseff уязвимость инъекции SQL, что позволяет инъекцию SQL. Камера Amazon Cloud Cam имеет уязвимость статуса парирования, что позволяет перехватывать и изменять сетевой трафик. Процессоры EPYC 7002 Series от AMD имеют уязвимость доступа к регистрам криптографического coprocessor ASP, что может позволить привилегированным атакующим получить несанкционированный доступ к регистрам криптографического coprocessor ASP.
Vulnerability Summary for the Week of June 9, 2025 cisa.gov
RSS Hunter RSS Hunter • 16 июн. 2025 г.

Краткое описание уязвимостей за неделю с 2 июня 2025 года

В различных продуктах, включая систему управления курьерской службой ABC, онлайн-доску объявлений, EIBPORT V3 KNX и другие, обнаружено несколько уязвимостей. Эти уязвимости имеют критическую и высокую степень опасности и могут быть использованы удаленно. Некоторые из них включают инъекции SQL, подделку межсайтовых запросов (CSRF) и десериализацию недоверенных данных. Другие связаны с неправильной нейтрализацией специальных элементов и ненадлежащим контролем имен файлов в операторах include/require. Уязвимости затрагивают различные продукты, включая плагины WordPress, настольные приложения и онлайн-системы управления. Баллы CVSS варьируются от 7,1 до 9,8, что указывает на высокую и критическую степень опасности. Информация об уязвимостях опубликована и может быть использована злоумышленниками, хотя некоторые из них уже устранены в последних обновлениях. Пользователям рекомендуется обновить свои продукты до последних версий для решения этих проблем. Уязвимости могут привести к несанкционированному доступу, выполнению произвольного кода и раскрытию конфиденциальных данных.
Vulnerability Summary for the Week of June 2, 2025 cisa.gov
RSS Hunter RSS Hunter • 9 июн. 2025 г.

Резюме уязвимостей за неделю с 26 мая 2025 года

В различных продуктах, включая ежедневный отчет о работе колледжа по 1000 проектам, argoproj, Avast Business Antivirus и Best Practical RT, обнаружены множественные уязвимости. Эти уязвимости могут привести к инъекции SQL, кросс-сайтингу и произвольным действиям от имени жертв. Некоторые из этих уязвимостей были исправлены в новых версиях, в то время как другие остаются неисправленными. Уязвимости получили оценки CVSS от 7,2 до 9,8, указывая на высокую или критическую степень опасности. Подвержены уязвимости Avast Business Antivirus, Best Practical RT и панель пожарной безопасности Consilium Safety CS5000. Некоторые из этих продуктов могут быть эксплуатированы удаленно, позволяя атакующим выполнять произвольные действия, подделывать или изменять файлы обновления и утечку секретных токенов доступа. Уязвимости были раскрыты публично и могут быть использованы атакующими. Патчи были выпущены для некоторых уязвимостей, в то время как другие требуют от пользователей принятия альтернативных мер для уменьшения рисков.
Vulnerability Summary for the Week of May 26, 2025 cisa.gov
RSS Hunter RSS Hunter • 2 июн. 2025 г.

Сводка уязвимостей за неделю с 19 мая 2025 года

В различных продуктах, включая MB-Gateway от AutomationDirect, систему управления больницей и WPAMS от mojoomla, TI WooCommerce Wishlist от TemplateInvaders и другие, обнаружено множество уязвимостей. Эти уязвимости включают неограниченную загрузку файлов с опасными типами, десериализацию недоверенных данных и неправильную нейтрализацию специальных элементов. Они могут привести к удаленному выполнению кода, произвольной загрузке файлов и SQL-инъекциям, а также к другим проблемам. Перечислены затронутые продукты и версии, а также соответствующие номера CVE и оценки CVSS. Оценки CVSS варьируются от 9 до 10, что указывает на высокую или критическую степень серьезности. Уязвимости были опубликованы в период с 19 по 25 мая 2025 года. Затронутые поставщики включают AutomationDirect, mojoomla, TemplateInvaders, STAGGS, printcart, Ajar Productions, StoreKeeper B.V., TYPO3, ABB, Canon Inc. и другие. Уязвимости затрагивают различные продукты, включая веб-серверы, принтеры и плагины WooCommerce. Пользователям рекомендуется обновить свои продукты до последних исправлений, чтобы предотвратить потенциальные атаки.
Vulnerability Summary for the Week of May 19, 2025 cisa.gov
RSS Hunter RSS Hunter • 27 мая 2025 г.

Резюме уязвимостей за неделю с 12 мая 2025 года

Множественные уязвимости были сообщены 13 и 15 мая 2025 года, затрагивая различные программные продукты. Плагин UiPress Lite имеет уязвимость удаленного выполнения кода, позволяющую аутентифицированным атакующим выполнять произвольный код с оценкой CVSS 8,8. Adobe Connect уязвим к кросс-сайтингу, что может привести к захвату сеанса с оценкой CVSS 9,3. Несколько продуктов Adobe, включая Animate, Bridge, Dimension, Dreamweaver, Illustrator, InDesign, Lightroom, Photoshop и Substance3D, имеют уязвимости, которые могут привести к произвольному выполнению кода. Эти уязвимости Adobe часто требуют взаимодействия пользователя, такого как открытие зловредного файла, и имеют оценки CVSS 7,8. Adobe ColdFusion имеет множественные уязвимости, включая неправильную валидацию ввода, неправильную авторизацию и инъекцию команд ОС, что может привести к произвольному выполнению кода с оценками CVSS 9,1. Некоторые уязвимости ColdFusion также включают неправильный контроль доступа, который может привести к произвольному чтению файловой системы. Одна уязвимость ColdFusion взаимодействия пользователя и имеет оценку CVSS 8,4. Эти уязвимости могут позволить атакующим обойти механизмы безопасности или получить несанкционированный доступ к чувствительным данным. Эксплуатация этих уязвимостей может привести к произвольному выполнению кода в контексте текущего пользователя.
Vulnerability Summary for the Week of May 12, 2025 cisa.gov
RSS Hunter RSS Hunter • 19 мая 2025 г.

Резюме уязвимостей за неделю с 5 мая 2025 года

Множество уязвимостей обнаружены в различных продуктах, включая плагины WordPress, портал CloudVision от Arista Networks, Avira Prime и коммутатор LCD KVM over IP Switch CL5708IM от ATEN. Эти уязвимости могут привести к несанкционированному изменению данных, повышению привилегий и удаленному выполнению кода. Затронутые продукты включают плагин WordPress Migration, Aira Prime, портал CloudVision от Arista и коммутатор CL5708IM от ATEN. Уязвимости получили оценки CVSS от 7,3 до 10, указывая на высокую или критическую степень опасности. Некоторые уязвимы к удаленному эксплуатированию, в то время как другие требуют локального доступа или аутентифицированных пользователей. Затронутые продукты используются в различных отраслях, включая кибербезопасность, сетевое оборудование и электронную коммерцию. Уязвимости были раскрыты публично, и эксплоиты могут быть доступны. Пользователям рекомендуется обновить свои продукты до последних версий и применить патчи безопасности, чтобы предотвратить эксплуатацию. Уязвимости получили идентификаторы CVE, включая CVE-2025-3455, CVE-2024-9524 и CVE-2025-0505.
Vulnerability Summary for the Week of May 5, 2025 cisa.gov
RSS Hunter RSS Hunter • 12 мая 2025 г.

Обзор уязвимостей за неделю, начинающуюся 28 апреля 2025 года

В различных программных продуктах и системах выявлено несколько критических уязвимостей. Novel-Plus подвержен отсутствию аутентификации в своей функции genCode. Плагин WordPress Page View Count позволяет несанкционированное изменение данных, приводящее к отказу в обслуживании. Продукты ABB ANC и Automation Builder подвержены уязвимостям, связанным с модификацией предполагаемых неизменяемыми данных и некорректным назначением разрешений. ctrlX OS от Bosch Rexroth содержит уязвимости в своем веб-приложении, позволяющие удаленное выполнение команд и манипулирование файлами. Плагин SureTriggers имеет уязвимость некорректного назначения привилегий, позволяющую повышение привилегий. Несколько продуктов itsourcecode, включая Gym, Placement и Restaurant Management Systems, уязвимы для SQL-инъекций. SOLIDWORKS eDrawings содержит уязвимости записи за пределами выделенной области памяти и использования памяти после освобождения, которые могут позволить выполнение произвольного кода. Dell PowerProtect Data Manager страдает от некорректного использования привилегированных API, что потенциально может привести к повышению привилегий. Delta Electronics ISPSoft уязвим для переполнений буфера на основе стека и уязвимостей записи за пределами выделенной области памяти. Наконец, Agentflow имеет уязвимость обхода блокировки учетной записи, а Honeywell MB-Secure подвержен уязвимости внедрения команд операционной системы.
Vulnerability Summary for the Week of April 28, 2025 cisa.gov
RSS Hunter RSS Hunter • 5 мая 2025 г.

Краткое описание уязвимостей за неделю с 21 апреля 2025 года

Язык программирования Adept от AdeptLanguage имел уязвимость в файле рабочего процесса remoteBuild.yml, которая позволяла злоумышленникам извлекать токен GitHub и загружать вредоносный код или переписывать коммиты релизов. Проблема была исправлена в коммите a1a41b7. Aeropage Sync для Airtable имел уязвимость, которая позволяла аутентифицированным злоумышленникам загружать произвольные файлы, что потенциально могло привести к удаленному выполнению кода. Программное обеспечение Net.Time - PTP/NTP clock от ALBEDO Telecom имело уязвимость недостаточного времени истечения сессии, что могло позволить злоумышленникам передавать пароли по незашифрованным соединениям.IonDotnet от Amazon имел уязвимость отказа в обслуживании из-за условия бесконечного цикла при чтении бинарных данных Ion. Проблема была исправлена в версии 1.3.1. Плагин Service Finder Bookings от Aonetheme для WordPress имел уязвимость повышения привилегий, которая позволяла неаутентифицированным злоумышленникам регистрировать учетную запись с произвольной ролью, включая Администратора. Плагин Frontend Login and Registration Blocks от Arkenon для WordPress имел уязвимость повышения привилегий, которая позволяла аутентифицированным злоумышленникам изменять пароли произвольных пользователей.Плагин Jupiter X Core от Artbees для WordPress имел уязвимость внедрения PHP-объекта, которая позволяла злоумышленникам внедрять PHP-объект через PHAR-файл. License For Envato от Ashraful Sarkar Naiem имел уязвимость удаленного включения PHP-файла, которая позволяла локальное включение PHP-файлов. Плагин Verification SMS with TargetSMS от Cajka для WordPress имел ограниченную уязвимость удаленного выполнения кода, которая позволяла неаутентифицированным злоумышленникам выполнять любые вызываемые функции на сайте.
Vulnerability Summary for the Week of April 21, 2025 cisa.gov
RSS Hunter RSS Hunter • 28 апр. 2025 г.

Сводка уязвимостей за неделю, начинающуюся 14 апреля 2025 года.

В апреле 2025 года были обнаружены многочисленные уязвимости, затрагивающие различных поставщиков и продукты. В Apple macOS была выявлена проблема с повреждением памяти, потенциально приводящая к выполнению кода через вредоносные аудиофайлы. Плагин WordPress Smart Product Review был уязвим к произвольной загрузке файлов, что позволяло удаленно выполнять код. Были устранены несколько уязвимостей ядра Linux, связанных с ошибками use-after-free. EPC AI Hub, JoomSky JS Job Manager и ряд других продуктов имели уязвимости неограниченной загрузки файлов, часто позволяющие загружать веб-оболочки и удаленно выполнять код. В Erlang/OTP была обнаружена ошибка в SSH-сервере, позволяющая неаутентифицированное удаленное выполнение кода. В Seclore была обнаружена уязвимость обхода аутентификации, а в Wallos - проблемы с загрузкой файлов в функциональности резервного копирования/восстановления. Hitachi Vantara Pentaho Data Integration & Analytics имел уязвимость JNDI-инъекции. Также были сообщены о нескольких уязвимостях, связанных с SQL-инъекциями, переполнениями буфера и небезопасными настройками по умолчанию в различных продуктах, влияющих на такие области, как аутентификация, манипулирование данными и удаленное выполнение кода.
Vulnerability Summary for the Week of April 14, 2025 cisa.gov
RSS Hunter RSS Hunter • 21 апр. 2025 г.

Обзор уязвимостей за неделю с 7 апреля 2025 года

Перечисленные уязвимости затрагивают разнообразное программное обеспечение и оборудование, от промышленных устройств до веб-приложений и плагинов. Несколько уязвимостей в системе управления данными SENTRON 7KT PAC1260 позволяют удалённо выполнять код. Уязвимость графического интерфейса Fortinet FortiSwitch позволяет изменять пароли без авторизации. В версиях промышленного комплекта Edge Device Kit обнаружена уязвимость обхода аутентификации. Уязвимость в платформе TOTVS позволяет обойти многофакторную аутентификацию. В версиях Yii 2 до 2.0.52 неправильно обрабатывается вложение поведения. Плагин Simple WP Events уязвим к произвольному удалению файлов. В программном комплекте разработки Mediatek обнаружена уязвимость записи за границами выделенной памяти. Многочисленные уязвимости в RUoYi v.4.8.0 позволяют повышать привилегии. Были выявлены и другие уязвимости, включая SQL-инъекции, ненадлежащий контроль доступа и проблемы с паролями по умолчанию в разных продуктах.
Vulnerability Summary for the Week of April 7, 2025 cisa.gov
RSS Hunter RSS Hunter • 14 апр. 2025 г.

Сводка уязвимостей за неделю, начинающуюся 31 марта 2025 года.

Этот текст суммирует информацию о нескольких критических уязвимостях, обнаруженных в различных программных продуктах. Эти уязвимости варьируются от межсайтовой подделки запросов (CSRF) и SQL-инъекций до удаленного включения кода и повышения привилегий. Aboobacker's AB Google Map Travel и AdminGeekZ's Varnish WordPress подвержены CSRF. Countdown & Clock от adamskaat имеет уязвимость обхода каталогов, а его WordPress плагин имеет проблему локального включения файлов. Ads by WPQuads уязвим для SQL-инъекций и отсутствия проверок авторизации. ageerle's ruoyi-ai имеет проблемы с неправильной авторизацией, которые можно использовать удаленно. Инструмент aiTool для написания контента подвержен слепой SQL-инъекции. Aiven-extras имеет уязвимость повышения привилегий, позволяющую стать суперпользователем. macOS и iPadOS от Apple имеют несколько уязвимостей, включая выход за пределы песочницы, повреждение памяти и повышение привилегий, которые были устранены в недавних обновлениях. AMD Ryzen AI Software имеет проблемы с переполнением целых чисел и некорректные права доступа по умолчанию. Just Post Preview Widget от Alex Prokopenko имеет уязвимость локального включения PHP файлов, а плагин Blubrry PowerPress от Angelo Mandato имеет проблему межсайтового скриптинга.
Vulnerability Summary for the Week of March 31, 2025 cisa.gov
RSS Hunter RSS Hunter • 7 апр. 2025 г.

Резюме уязвимостей за неделю с 24 марта 2025 года

Множество уязвимостей высокой степени опасности были обнаружены в различных продуктах, включая Firefox, Fortinet FortiOS, Convivance StandVoice, Red Hat Pagure и других. Эти уязвимости могут привести к произвольному выполнению кода, выходу из песочницы, удаленному выполнению команд и повышению привилегий. Затронутые продукты включают версии Firefox до 136.0.4, версии FortiOS от 7.2.0 до 7.2.3 и Pagure. Уязвимости были обнаружены в марте 2025 года и получили идентификаторы CVE. Оценки CVSS для этих уязвимостей варьируются от 9,0 до 10,0, указывая на высокую степень опасности. Уязвимости могут быть эксплуатированы удаленными атакующими, и некоторые из них не требуют аутентификации или привилегий. Затронутые продукты широко используются в различных отраслях, включая технологии, финансы и здравоохранение. Пользователям рекомендуется обновить до последних версий затронутых продуктов, чтобы исправить эти уязвимости. Непринятие мер может привести к полному компромету системы, утечкам данных и другим серьезным последствиям.
Vulnerability Summary for the Week of March 24, 2025 cisa.gov
RSS Hunter RSS Hunter • 31 мар. 2025 г.

Резюме уязвимостей за неделю с 17 марта 2025 года

Текст представляет собой сборник уязвимостей высокой степени тяжести в различных программных продуктах от разных производителей. Эти уязвимости включают ошибки выполнения кода, внедрение SQL, повышение привилегий и обход аутентификации. Несколько продуктов Synology, включая Unified Controller, DiskStation Manager и Camera Firmware, подвержены уязвимостям, позволяющим удаленно выполнять код. Системы IBM AIX имеют уязвимости, связанные с выполнением команд и SSL/TLS. Множество плагинов и тем WordPress, таких как Altair, CozyStay, Service Finder Bookings и MinimogWP, уязвимы для различных атак. Маршрутизаторы D-Link DAP-1620 страдают от критических уязвимостей переполнения буфера. Другими пострадавшими продуктами являются Fortinet FortiMail, CM News и MB connect line mbCONNECT24. Кроме того, уязвимости существуют в Esri ArcGIS, Microsoft Partner Center и нескольких других программных пакетах. Сообщенные уязвимости имеют высокие баллы CVSS, указывающие на значительные риски. Раскрытая информация основана на опубликованных записях CVE.
Vulnerability Summary for the Week of March 17, 2025 cisa.gov
RSS Hunter RSS Hunter • 24 мар. 2025 г.

Краткое описание уязвимостей за неделю с 10 марта 2025 года

В различных продуктах, включая 1E Client, springboot-openai-chatgpt, a2rocklobster FTP Sync, Adobe Acrobat Reader, Adobe Illustrator, Adobe InDesign Desktop, Adobe Substance3D - Designer, Adobe Substance3D - Modeler, Adobe Substance3D - Painter и Adobe Substance3D - Sampler, обнаружено несколько уязвимостей. Эти уязвимости включают неправильное разрешение ссылок, ненадлежащую авторизацию, жестко закодированные учетные данные, межсайтовую подделку запросов (CSRF), доступ к неинициализированному указателю, использование после освобождения памяти (use after free), чтение и запись за пределами границ (out-of-bounds read and write), переполнение буфера стека (stack-based buffer overflow), переполнение буфера кучи (heap-based buffer overflow) и небезопасный путь поиска. Оценки CVSS для этих уязвимостей варьируются от 7.1 до 7.8, что указывает на высокую степень серьезности. Для эксплуатации этих проблем часто требуется взаимодействие с пользователем, например, открытие вредоносного файла. Перечислены затронутые продукты и версии, а также соответствующие номера CVE. Вендоры были уведомлены об этих раскрытиях, но некоторые из них не ответили. Продукты используют скользящие релизы или не используют версионирование, что затрудняет определение затронутых и незатронутых релизов. Уязвимости были опубликованы в разные даты в марте 2025 года. Пользователям рекомендуется принять необходимые меры предосторожности для предотвращения эксплуатации этих уязвимостей.
Vulnerability Summary for the Week of March 10, 2025 cisa.gov
RSS Hunter RSS Hunter • 17 мар. 2025 г.

Резюме уязвимостей за неделю с 3 марта 2025 года

Множество уязвимостей высокой степени опасности были обнаружены в различных продуктах, включая Uniguest Tripleplay, Lucee, NotFound Ark Theme Core и других. Эти уязвимости включают удаленное выполнение кода, повышение привилегий, инъекцию SQL и инъекцию объектов PHP, среди прочих. Многие из этих уязвимостей имеют оценку CVSS 9.8 или выше, указывая на высокий уровень опасности. Затронутые продукты включают темы и плагины WordPress, веб-приложения на основе Java и сетевые устройства. В некоторых случаях уязвимости могут быть эксплуатированы неавторизованными атакующими, а в других случаях требуется аутентификация. Уязвимости могут привести к произвольному выполнению кода, повышению привилегий и нарушению целостности данных. Патчи и обновления были выпущены для устранения этих уязвимостей, и пользователям рекомендуется применять их как можно скорее. Непринятие мер может привести к серьезным последствиям для безопасности. Затронутые поставщики включают Uniguest, Lucee, NotFound, Fave Themes, Boceksoft Informatics и многих других. Уязвимости были обнаружены в марте 2025 года, и пользователям рекомендуется принять немедленные меры для защиты своих систем.
Vulnerability Summary for the Week of March 3, 2025 cisa.gov
RSS Hunter RSS Hunter • 10 мар. 2025 г.

Обзор уязвимостей за неделю, начинающуюся 24 февраля 2025 года

Во множестве продуктов были обнаружены различные уязвимости, включая jupyterhub-ltiauthenticator, MITRE Caldera, scriptsbundle Nokri Job Board WordPress Theme, Yukseloglu Filter B2B Login Platform, Infoblox NIOS, XIQ-SE, устройства Draytek, Mautic, устройства Vigor, NovaCHRON Zeitsysteme GmbH & Co. KG Smart Time Plus, XOne Web Monitor, Public Knowledge Project, yi_car_dashcam_firmware, DHVC Form, WooCommerce Ultimate Gift Card, WHMpress - WHMCS WordPress Integration Plugin, IBM Storage Virtualize, everest_forms, SetSail Membership, Alloggio Membership, Academist Membership, CIGES и Mattermost.Эти уязвимости включают в себя проблемы высокой степени серьезности, такие как удаленное выполнение кода, SQL-инъекция, повышение привилегий, обход аутентификации, а также произвольная загрузка, чтение и удаление файлов.Перечислены затронутые продукты и версии, а также соответствующие номера CVE и оценки CVSS.Уязвимости были обнаружены и сообщены в период с 24 февраля 2025 года по 1 марта 2025 года.Пользователям этих продуктов рекомендуется обновиться до последних версий или установить исправления для снижения рисков.В некоторых случаях обходные пути отсутствуют, и пользователям необходимо обновиться до исправленной версии, чтобы предотвратить эксплуатацию.Уязвимости могут быть использованы удаленными злоумышленниками, и для некоторых из них требуется аутентификация или выполнение определенных условий.Влияние этих уязвимостей может быть серьезным, включая удаленное выполнение кода, утечки данных и захват сайтов.Пользователям настоятельно рекомендуется принять немедленные меры для устранения этих уязвимостей и защиты своих систем и данных.Полный список затронутых продуктов и подробности можно найти в оригинальном тексте.
Vulnerability Summary for the Week of February 24, 2025 cisa.gov
RSS Hunter RSS Hunter • 3 мар. 2025 г.

Резюме уязвимостей за неделю с 17 февраля 2025 года

Обнаружены множественные уязвимости в различных продуктах, включая плагины WordPress, прошивку и программное обеспечение. Плагин a1post A1POST.BG Shipping for Woo имеет уязвимость Cross-Site Request Forgery, позволяющую повысить привилегии. Плагин WPMobile.App имеет уязвимость Open Redirect, которая может перенаправить пользователей на вредоносные сайты. Плагин Option Editor имеет уязвимость Cross-Site Request Forgery, позволяющую обновлять произвольные опции на сайте WordPress. Система управления активами Baiyi Cloud имеет несколько уязвимостей SQL-инъекций, которые можно эксплуатировать удаленно. Система управления поведением и аудита BDCOM имеет уязвимость инъекции команд операционной системы, которую можно запустить удаленно. Тема WordPress CarSpot - Dealership Classified имеет уязвимость повышения привилегий, позволяющую захватить учетную запись. binance-trading-bot имеет уязвимость инъекции команд, позволяющую выполнить удаленный код. ChurchCRM имеет уязвимость time-based blind SQL Injection, позволяющую выполнить произвольные SQL-запросы. Множество других продуктов, включая Dell Client Platform BIOS, Dell NetWorker Management Console и denx U-Boot, имеют уязвимости, которые можно эксплуатировать для получения повышенных привилегий или выполнения произвольного кода.
Vulnerability Summary for the Week of February 17, 2025 cisa.gov
RSS Hunter RSS Hunter • 24 февр. 2025 г.

Резюме уязвимостей за неделю с 10 февраля 2025 года

Уязвимость в системе ABB 800xA позволяет атакующему остановить или манипулировать видеопотоками, затрагивая версии 5.1.X, 6.0.3.X, 6.1.1.X и 6.2.X. AcyMailing SMTP Newsletter уязвима для отраженной XSS, затрагивая все версии. Версии Adobe Commerce 2.4.7-beta1, 2.4.7-p3, 2.4.6-p8, 2.4.5-p10 и 2.4.4-p11 подвержены множественным уязвимостям, включая Неправильную Авторизацию, хранимую XSS и Неправильный Контроль Доступа. Эти уязвимости могут привести к повышению привилегий, обходу мер безопасности и захвату сессии. Adobe Commerce также подвержена уязвимости Неправильного Ограничения Пути к Ограниченному Каталогу, что может привести к обходу мер безопасности. Версии Adobe Illustrator 29.1, 28.7.3 и ранее подвержены уязвимостям Использования после Освобождения, Недостаточной Проверки целочисленного Переполнения и Стекового Переполнения буфера, что может привести к произвольному выполнению кода. Adobe InCopy и InDesign Desktop также подвержены множественным уязвимостям, включая уязвимости записи вне границ, Переполнения буфера на основе кучи и Недостаточной Проверки целочисленного Переполнения, что может привести к произвольному выполнению кода. Adobe Substance3D - Designer версии 14.0.2 и ранее подвержена уязвимости записи вне границ, что может привести к произвольному выполнению кода. advplyr's audiobookshelf подвержена уязвимости обхода аутентификации, что может привести к раскрытию информации и отказу в обслуживании.
Vulnerability Summary for the Week of February 10, 2025 cisa.gov
RSS Hunter RSS Hunter • 18 февр. 2025 г.

Резюме уязвимостей за неделю с 3 февраля 2025 года

"В различных продуктах, включая .TUBE gTLD, 2N Access Commander, ABB ASPECT-Enterprise, Advantive VeraCore и другие, выявлены несколько проблем с высокой уязвимостью. Эти уязвимости включают межсайтовый скриптинг, атаки "человек посередине", использование жестко закодированных учетных данных и неправильную проверку подписей. Перечислены затронутые продукты и версии, а также соответствующие им номера CVE и баллы CVSS. Эти уязвимости могут быть использованы для получения несанкционированного доступа, выполнения произвольного кода и создания условий для отказа в обслуживании. В некоторых случаях атакующие могут использовать эти уязвимости для повышения привилегий, загрузки вредоносных файлов и выполнения удаленного кода. Затронутые производители выпустили патчи и обновления для устранения этих уязвимостей. Пользователям рекомендуется обновиться до последних версий, чтобы снизить эти риски. Баллы CVSS варьируются от 7,1 до 9,9, что указывает на высокий или критический уровень серьезности. Уязвимости были опубликованы между 3 и 8 февраля 2025 года. Пользователям следует принять немедленные меры для устранения этих уязвимостей и защиты своих систем от потенциальных атак."
Vulnerability Summary for the Week of February 3, 2025 cisa.gov
RSS Hunter RSS Hunter • 10 февр. 2025 г.

Резюме уязвимостей за неделю с 27 января 2025 года

В различных продуктах обнаружены множественные уязвимости, включая plonky2 от 0xPolygonZero, систему управления задачами для сотрудников от 1000 Projects, single_user_chat от aakashbhagat, FLXEON от ABB, агент Acronis Cyber Protect Cloud и Enterprise Application Access от Akamai. Эти уязвимости могут привести к проблемам, таким как инъекция SQL, несанкционированное изменение данных, произвольное выполнение кода и отказ в обслуживании. Некоторые из этих уязвимостей были исправлены в недавних обновлениях, включая версию 1.0.1 plonky2 и сборку 39378 агента Acronis Cyber Protect Cloud. Другие затронутые продукты включают Halo9 от Alpine, Advanced Dynamic Pricing for WooCommerce от AlgolPlus и Internal Link Builder от Alessandro Piconi. Apple также выпустила патчи для нескольких уязвимостей в своих продуктах, включая iOS, iPadOS, macOS, watchOS и tvOS. Эти уязвимости могут привести к проблемам, таким как отпечатки пальцев, повреждение памяти сопроцессора и повышение привилегий. Apple устранила эти проблемы с помощью улучшенных проверок границ, обработки памяти и валидации ввода. Пользователям рекомендуется обновить свои продукты до последних версий, чтобы предотвратить потенциальные атаки.
Vulnerability Summary for the Week of January 27, 2025 cisa.gov
RSS Hunter RSS Hunter • 3 февр. 2025 г.

Резюме уязвимостей за неделю с 20 января 2025 года

Множество уязвимостей обнаружены в различных программных продуктах, включая a+HRD от aEnrich Technology, плагин AI Power от aipower и Apache Ambari от Apache Software Foundation. Эти уязвимости включают в себя инъекцию SQL, небезопасную десериализацию и уязвимости кросс-сайтинга (XSS). У a+HRD есть уязвимость к инъекции SQL, которая позволяет неавторизованным удаленным атакующим вводить произвольные команды SQL. У плагина AI Power есть уязвимость к инъекции объекта PHP, которая позволяет авторизованным атакующим вводить объект PHP. Apache Ambari имеет несколько уязвимостей, включая уязвимость к удаленному выполнению кода и уязвимость к внешнему сущности XML (XXE). Другие затронутые продукты включают a Gateway для Pasargad Bank от AlaFalaki, WpDevTool от Alessandro Benoit и Social2Blog от Andrea Dotta. Эти уязвимости могут быть использованы атакующими для выполнения произвольного кода, ввода вредоносных скриптов или кражи чувствительных данных. Оценки уязвимостей по системе CVSS (Common Vulnerability Scoring System) варьируются от 7,1 до 10, указывая на высокий уровень серьезности. Список затронутых продуктов и версий, а также соответствующие номера CVE и даты публикации, приведены ниже. Пользователям рекомендуется обновить свое программное обеспечение до последних версий, чтобы исправить эти уязвимости и предотвратить потенциальные атаки.
Vulnerability Summary for the Week of January 20, 2025 cisa.gov
RSS Hunter RSS Hunter • 26 янв. 2025 г.

Резюме уязвимостей за неделю с 13 января 2025 года

В различных продуктах, включая платформу Campaign Management System для женщин от 1000 Projects, Adobe Illustrator и Substance3D Stager, обнаружены множественные уязвимости. К ним относятся уязвимости типа SQL-инъекция, нехватка целочисленного значения, переполнение стека буфера и выход за границы записи, среди прочих. Эксплуатация этих проблем может привести к произвольному выполнению кода, отказу в обслуживании или другим последствиям безопасности. Многие из этих уязвимостей требуют взаимодействия пользователя, например, открытия вредоносного файла, для эксплуатации. Другие могут быть эксплуатированы удаленно без взаимодействия пользователя. Уязвимостям присвоены различные оценки CVSS, варьирующиеся от 7,1 до 9,1, указывающие на их серьезность. Список затронутых продуктов и версий, а также даты публикации уязвимостей, приведен ниже. Некоторые из уязвимостей были устранены благодаря улучшенному управлению состоянием, обработке памяти и другим мерам безопасности. Пользователям рекомендуется обновить свои продукты до последних версий, чтобы смягчить эти уязвимости. Непринятие мер может привести к успешной эксплуатации уязвимостей злоумышленниками.
Vulnerability Summary for the Week of January 13, 2025 cisa.gov
RSS Hunter RSS Hunter • 21 янв. 2025 г.

Резюме уязвимостей за неделю с 4 ноября 2024 года

Были обнаружены множественные уязвимости в различных программных продуктах, включая Beauty Parlour Management System и Bookstore Management System от 1000 Projects, Access Commander от 2N, Aero от 63moons и другие. Эти уязвимости варьируются от SQL-инъекций и межсайтового скриптинга (XSS) до обхода путей и повышения привилегий. Затронутые продукты включают системы управления, системы контроля доступа и программные приложения. Уязвимости можно эксплуатировать удаленно, позволяя злоумышленникам внедрять вредоносный код, обходить аутентификацию или повышать привилегии. Некоторые из уязвимостей получили высокие баллы CVSS, указывающие на высокий уровень серьезности. Затронутые продукты используются в различных отраслях, включая здравоохранение, образование и финансы. Пользователям рекомендуется обновить до последних версий затронутых продуктов, чтобы исправить уязвимости. В некоторых случаях уязвимости можно эксплуатировать злоумышленниками с низкими привилегиями, что делает их более доступными для злоумышленников. Уязвимости были обнаружены различными исследователями и раскрыты публике. Пользователям настоятельно рекомендуется принять немедленные меры для исправления уязвимостей и предотвращения потенциальных атак.
Vulnerability Summary for the Week of November 4, 2024 cisa.gov
RSS Hunter RSS Hunter • 12 нояб. 2024 г.

Резюме уязвимостей за неделю с 28 октября 2024 года

В различных программных продуктах выявлены множественные уязвимости, включая Apple iOS, iPadOS, macOS и visionOS, а также Autodesk AutoCAD и другие сторонние приложения. Эти уязвимости варьируются от обхода аутентификации и неограниченной загрузки файлов до десериализации недоверенных данных, проблем с использованием после освобождения и уязвимостей удаления пути. Оценки уязвимостей по системе CVSS (Common Vulnerability Scoring System) различаются, некоторые из них достигают уровня 10, указывающего на критический уровень серьезности.Поврежденные продукты Apple были исправлены в последних обновлениях, включая iOS 18.1, iPadOS 18.1, macOS Ventura 13.7.1 и macOS Sonoma 14.7.1. Autodesk также выпустила исправления для выявленных уязвимостей в AutoCAD. Пользователям рекомендуется обновить свое программное обеспечение до последних версий для смягчения этих уязвимостей.Помимо Apple и Autodesk, другие поставщики также были затронуты, включая acnoo, adirectory, Ajar Productions, Amin Omer, amu02aftab, Andy Moyle и Apache Software Foundation. Выявленные уязвимости в этих продуктах включают обход аутентификации, неограниченную загрузку файлов и произвольное выполнение кода.Оценки уязвимостей по системе CVSS варьируются от 7,1 до 10, указывая на умеренный до критический уровень серьезности. Пользователям рекомендуется обновить свое программное обеспечение до последних версий и следовать рекомендуемым практикам для смягчения этих уязвимостей.
Vulnerability Summary for the Week of October 28, 2024 cisa.gov
RSS Hunter RSS Hunter • 4 нояб. 2024 г.

Краткая сводка по уязвимости за неделю от 21 октября 2024 г.

Несколько серьезных уязвимостей было обнаружено в различных продуктах, включая Admin Verbalize WP, advancedcoding Comments wpDiscuz, Alexander De Ridder INK Official, Amazon ApplicationLoadBalancer Identity AspNetCore Middleware и Amazon AWS ALB Route Directive Adapter For Istio. Эти уязвимости включают неконтролируемую загрузку файлов опасного типа, обход аутентификации и недостаточную проверку ввода пользователя.Плагин Admin Verbalize WP для WordPress имеет уязвимость, которая позволяет злоумышленнику загружать веб-оболочку на веб-сервер, в то время как плагин advancedcoding Comments wpDiscuz имеет уязвимость обхода аутентификации, которая позволяет злоумышленнику входить в систему как любой существующий пользователь. Плагин Alexander De Ridder INK Official также имеет уязвимость неконтролируемой загрузки файлов опасного типа.Amazon ApplicationLoadBalancer Identity AspNetCore Middleware и Amazon AWS ALB Route Directive Adapter for Istio имеют уязвимости, которые позволяют злоумышленнику подделывать сеансы OIDC с федерацией и обходить аутентификацию.Другие продукты с обнаруженными уязвимостями включают appcheap App Builder, baserproject basercms, buddypress BuddyPress и программное обеспечение Cisco Adaptive Security Appliance. Уязвимости в этих продуктах включают повышение привилегий, кросс-сайтовый скриптинг, обход каталогов и условия отказа в обслуживании.Крайне важно исправить эти уязвимости, чтобы предотвратить потенциальные атаки и обеспечить безопасность уязвимых систем.
Vulnerability Summary for the Week of October 21, 2024 cisa.gov
RSS Hunter RSS Hunter • 28 окт. 2024 г.

Обзор уязвимостей за неделю с 14 октября 2024 года

- Группы социальных ссылок Acespritech Solutions Pvt. Ltd. имеют уязвимость внедрения SQL, которая допускает внедрение слепого SQL, затрагивая версии от n/a до 1.1.0. - Apache CloudStack имеет уязвимость, при которой новые ConfigSets, созданные с помощью команды восстановления, не устанавливаются как "доверенные", что может привести к загрузке пользовательского кода в classloader, затрагивая версии от 6.6.0 до 8.11.4 и 9.0.0 до 9.7.0. - Apache Solr имеет уязвимость обхода аутентификации из-за неправильной инициализации ресурсов по умолчанию, затрагивая версии от 6.6.0 до 8.11.4 и 9.0.0 до 9.7.0. - Apache CloudStack имеет уязвимость, при которой пользователей можно обмануть, заставив отправить вредоносные запросы CSRF из-за отсутствия проверки подлинности запросов, затрагивая версии от 4.15.1.0 до 4.18.2.3 и от 4.19.0.0 до 4.19.1.1. - Плагин Arisoft's ARI-Adminer для WordPress уязвим к обходу авторизации из-за отсутствия контроля доступа к файлам, затрагивая версии до 1.1.14 включительно. - Календарь записи на прием с искусственным интеллектом WP Timetics и плагин онлайн-планирования Arraytics для WordPress уязвим к захвату учетной записи/эскалации привилегий через небезопасную прямую ссылку на объект, затрагивая версии до 1.0.25 включительно. - Ahime Image Printer компании Ahime имеет уязвимость обхода пути, затрагивая версии от n/a до 1.0.0. - Недавно созданный плагин Anand23 для WordPress имеет уязвимость обхода аутентификации, затрагивая версии от n/a до 1.1. - Плагин Better Author Bio для WordPress от Arif Nezami имеет уязвимость межсайтовой подделки запросов (CSRF), затрагивая версии от n/a до 2.7.10.11. - Плагины формы регистрации рассылки APA и Apa Banner Slider для WordPress от Apa имеют уязвимости межсайтовой подделки запросов (CSRF), затрагивая версии от n/a до 1.0.0.
Vulnerability Summary for the Week of October 14, 2024 cisa.gov
RSS Hunter RSS Hunter • 21 окт. 2024 г.

Сводка по уязвимостям за неделю с 7 октября 2024 г.

Компания Adobe сообщила о множественных уязвимостях в различных продуктах, включая Animate, Commerce, Framemaker, Dimension, InCopy, InDesign Desktop и Substance3D - Stager. Эти уязвимости могут привести к произвольному выполнению кода, повышению привилегий, кросс-сайтингу и другим проблемам безопасности. Уязвимости были опубликованы 9 и 10 октября 2024 года и имеют оценку CVSS от 7,6 до 9,8.Уязвимости в Animate включают переполнение стека буфера, доступ к неинициализированному указателю, использование после освобождения, переполнение целочисленного буфера или обертывание, а также переполнение кучи буфера. Уязвимости в Commerce включают неправильную аутентификацию, кросс-сайтинг и неправильную валидацию ввода.Framemaker подвержен уязвимостям чтения вне границ, поиска неtrusted пути, неограниченной загрузки файлов опасного типа, переполнения целочисленного буфера или обертывания, а также уязвимости целочисленного недополнения. Dimension подвержен уязвимостям использования после освобождения и записи вне границ.InCopy и InDesign Desktop подвержены уязвимостям неограниченной загрузки файлов опасного типа. Substance3D - Stager подвержен уязвимостям использования после освобождения, переполнения кучи буфера, записи вне границ и условия записи-чего-где.Пользователям рекомендуется обновить свое программное обеспечение до последней версии, чтобы исправить эти уязвимости. Кроме того, плагин WordPress под названием WP Post Author уязвим к временной SQL-инъекции, и пользователям рекомендуется обновить плагин до последней версии.
Vulnerability Summary for the Week of October 7, 2024 cisa.gov
RSS Hunter RSS Hunter • 15 окт. 2024 г.