# drošība
$ ls | wc -l → 74 raksti
npm 12 pēc noklusējuma vairs nepalaiž atkarību instalācijas skriptus — sharp un Cypress prasa atļauju
npm 12 iznāca 8. jūlijā ar instalācijas skriptiem izslēgtiem pēc noklusējuma. Native moduļiem un testu rīkiem tagad vajag skaidru atļauju.
Gitea Docker attēls pēc noklusējuma uztic X-WEBAUTH-USER galveni jebkuram IP — uzbrucējs iejūtas jebkurā lietotājā
Gitea oficiālais Docker attēls līdz 1.26.2 uzticējās X-WEBAUTH-USER galvenei no jebkuras adreses. Kļūda ar CVSS 9,8 ļauj pieteikties kā jebkuram lietotājam bez paroles.
AWS Kiro aģents pats pārraksta savu konfigurāciju un palaiž svešu kodu — to pašu kļūdu atrod trešo reizi gadā
Drošības pētnieki nepilna gada laikā trīs reizes atraduši vienu shēmu: AWS kodēšanas aģents Kiro pats pārraksta savu konfigurāciju un palaiž svešu kodu. Katru reizi ar citu failu.
Microsoft vienā laidienā ielāpo 17 .NET caurumus — Dependabot par tiem klusē, jo GitHub datubāzē to nav
Microsoft 14. jūlijā izlaida .NET drošības laidienu ar 17 ielāpiem. Puse kļūdu ir XML apstrādē. Dependabot par tām nebrīdina, jo GitHub datubāzē aprakstu nav.
Francija no 2027. gada nesertificēs drošības produktus bez pēckvantu šifrēšanas — atsevišķs Kyber vairs neder
ANSSI no 2027. gada 1. janvāra nesertificēs drošības produktus bez pēckvantu šifrēšanas. Atsevišķs ML-KEM neder, obligāts ir hibrīds ar klasisko kriptogrāfiju.
nginx 1.30.4 aizver 15 gadus vecu caurumu — map ar regex ļauj izpildīt kodu bez pieteikšanās
nginx 15. jūlijā ielāpo CVE-2026-42533 — kaudzes pārpildi map direktīvā ar regex, kas serverī slēpjas kopš 2011. gada un ļauj izpildīt kodu bez pieteikšanās.
wp2shell ļauj pārņemt WordPress vietni bez paroles — ielāps klāt, uzbrukumi jau sākušies
Divu kļūdu ķēde wp2shell ļauj bez paroles palaist kodu uz noklusējuma WordPress vietnes. Ielāpi 6.8.6, 6.9.5 un 7.0.2 iznākuši 17. jūlijā, bet publisks PoC un aktīvi uzbrukumi jau notiek.
GNOME saīsina drošības atklāšanas termiņu no 90 uz 30 dienām — AI ziņojumi pārpludina reģistru
GNOME no 1. augusta atklās drošības kļūdas 30 dienās, nevis 90. Iemesls — mākslīgā intelekta ģenerētu ziņojumu plūdi projekta drošības reģistrā.
7-Zip 26.02 aizver XZ dekodera caurumu — sagatavots arhīvs var palaist kodu, un atjauninājums nenāk pats
CVE-2026-14266 ir heap bufera pārpilde 7-Zip XZ dekoderā: sagatavots .xz fails var palaist kodu. Labots versijā 26.02, kas jāuzstāda pašrocīgi.
Microsoft jūlijā ielāpo 569 ievainojamības — lielākais Patch Tuesday vēsturē, divas jau izmanto uzbrukumos
Microsoft 14. jūlijā slēdza 569 ievainojamības — lielākais Patch Tuesday laidiens vēsturē. Divas kļūdas jau izmanto reālos uzbrukumos.