drošība
Ievainojamības, ielāpi un izmeklējumi. Bez panikas, ar konkrētiem rīcības soļiem.
$ ls | wc -l → 162 raksti
Next.js pirmajā plānotajā drošības laidienā aizver deviņas ievainojamības — četras augstas bīstamības
Next.js 16.2.11 un 15.5.21 aizver deviņas ievainojamības: četras augstas, piecas vidējas. Tas ir pirmais laidiens pēc jaunā drošības grafika.
JWCrypto 1.5.7 aizver dekompresijas bumbu — 132 KB žetons uzpūšas līdz 100 MB atmiņā
JWCrypto 1.5.7 aizver CVE-2026-39373: 132 KB JWE žetons atspiešanā izplešas līdz 100 MB un ļauj izsmelt servera atmiņu.
curl visu jūliju nepieņems drošības ziņojumus — AI radīto ziņojumu plūdi nogurdinājuši komandu
curl no 1. jūlija līdz 3. augustam neapstrādā jaunus drošības ziņojumus. Komandu nogurdinājis AI ģenerēto ievainojamību ziņojumu apjoms.
GitLab aizver astoņus drošības caurumus vienā ielāpā — smagākais ļauj palaist svešu skriptu upura pārlūkā
GitLab ielāps aizver astoņas kļūdas. Smagākā ir XSS caurums ar CVSS 8,7, kas ļauj izstrādātājam palaist svešu skriptu cita lietotāja pārlūkā.
Januscape atklāj 16 gadus vecu KVM caurumu — viesa mašīna izkļūst uz resursdatoru gan Intel, gan AMD
16 gadus vecs use-after-free KVM ēnu MMU kodā ļauj viesa mašīnai izlauzties uz resursdatoru gan Intel, gan AMD sistēmās. Labojums prasa divus CVE.
npm 12 pēc noklusējuma vairs nepalaiž atkarību instalācijas skriptus — sharp un Cypress prasa atļauju
npm 12 iznāca 8. jūlijā ar instalācijas skriptiem izslēgtiem pēc noklusējuma. Native moduļiem un testu rīkiem tagad vajag skaidru atļauju.
Gitea Docker attēls pēc noklusējuma uztic X-WEBAUTH-USER galveni jebkuram IP — uzbrucējs iejūtas jebkurā lietotājā
Gitea oficiālais Docker attēls līdz 1.26.2 uzticējās X-WEBAUTH-USER galvenei no jebkuras adreses. Kļūda ar CVSS 9,8 ļauj pieteikties kā jebkuram lietotājam bez paroles.
AsyncAPI npm pakotnes izplata Miasma RAT — uzbrucējs pievāca projekta paša GitHub Actions plūsmu
14. jūlijā uzbrucējs pievāca AsyncAPI projekta GitHub Actions plūsmu un publicēja piecas ļaunas npm versijas ar derīgām izcelsmes atzīmēm. Kods palaiž Miasma RAT, tiklīdz Node.js ielādē moduli.
AWS Kiro aģents pats pārraksta savu konfigurāciju un palaiž svešu kodu — to pašu kļūdu atrod trešo reizi gadā
Drošības pētnieki nepilna gada laikā trīs reizes atraduši vienu shēmu: AWS kodēšanas aģents Kiro pats pārraksta savu konfigurāciju un palaiž svešu kodu. Katru reizi ar citu failu.
Microsoft vienā laidienā ielāpo 17 .NET caurumus — Dependabot par tiem klusē, jo GitHub datubāzē to nav
Microsoft 14. jūlijā izlaida .NET drošības laidienu ar 17 ielāpiem. Puse kļūdu ir XML apstrādē. Dependabot par tām nebrīdina, jo GitHub datubāzē aprakstu nav.