# drošība
$ ls | wc -l → 74 raksti
SleeperGem izplata trīs ļaunus RubyGems, kas izpildās tikai uz izstrādātāja datora — CI serverī tie klusē
Drošības firma StepSecurity atklāja kampaņu, kurā trīs RubyGems pakotnes lejupielādē svešu kodu, bet CI serverī apzināti klusē un aktivizējas tikai uz izstrādātāja portatīvā datora.
uv 0.11.28 noraida ZIP arhīvus, ko agrāk pieņēma: 15 labojumi pret parsēšanas atšķirībām
uv 0.11.28 noraida ZIP arhīvus ar neviennozīmīgu saturu — 15 labojumi aizver parsēšanas atšķirības, ko izmanto gan pret pip, gan pret antivīrusiem.
QEMU viesa aģents ļauj parastam lietotājam kļūt par root ar simbolisko saišu triku
CVE-2026-12080: QEMU viesa aģenta komanda guest-ssh-add-authorized-keys ļauj parastam viesa lietotājam ar simbolisko saišu triku iegūt root tiesības. Kļūda ir ielāpota.
refuse ievieto sevi starp npm un reģistru — un atsaka 362 000 zināmu ievainojamību, pirms tās nonāk uz diska
Trīs jauni rīki — refuse, nproxy un Thinkst Package Proxy — pārtver katru pakotnes instalāciju un salīdzina to ar CVE datubāzi, pirms kods nonāk uz diska. Daļējs iemesls ir AI aģenti, kas palaiž npm install paši.
.NET jūlija atjauninājums aizver 17 caurumus — SslStream ielaida neautorizētus klientus
Microsoft 14. jūlijā izlaida .NET servisa atjauninājumu ar 17 drošības labojumiem. Versijas 10.0.10, 9.0.18 un 8.0.29 aizver SslStream autorizācijas apiešanu, XML šifrēšanas caurumus un HTTP/2 atteikumu.
WordPress ielāpo wp2shell: viens anonīms pieprasījums izpilda kodu uz noklusējuma vietnes — CVSS 9,8
17. jūlijā WordPress izlaida 7.0.2 un 6.9.5 un aizvēra wp2shell — anonīmi izmantojamu koda izpildes caurumu ar CVSS 9,8. Ievainojama ir noklusējuma instalācija bez neviena spraudņa.
Dependabot tagad gaida trīs dienas pirms versijas atjauninājuma — instalācijas slānis to neievēro
GitHub 14. jūlijā ieslēdza Dependabot noklusējuma nogaidi: versiju atjauninājumu pull request atveras tikai pēc trīs dienām. Aizsardzība tomēr beidzas pie instalācijas slāņa.
refuse bloķē zināmi ievainojamas pakotnes pirms instalācijas — arī tad, kad tās pieprasa AI aģents
Jauns atvērtā koda rīks refuse pārbauda katru instalāciju pret vairāk nekā 362 000 zināmu ievainojamību un bloķē CVE versijas, pirms tās nonāk diskā. Tas radīts tāpēc, ka AI kodēšanas aģenti piespraudē vecas, jau caurumainas versijas no apmācības datiem.
RabbitMQ galapunkts /api/auth divus gadus atdeva OAuth noslēpumu bez paroles — pietiek ar vienu pieprasījumu brokera pārņemšanai
Novecojis GET /api/auth galapunkts RabbitMQ pārvaldības saskarnē atdeva OAuth 2 klienta noslēpumu jebkuram nepieteiktam pieprasītājam. CVE-2026-57219, CVSS 8.7; laboti izlaidumi 4.3.0, 4.2.6, 4.1.11, 4.0.20 un 3.13.15.
Adobe aizver septiņas CVSS 10.0 kļūdas ColdFusion un Campaign Classic — vienu jau izmanto uzbrucēji
Adobe ārpuskārtas ielāps aizver deviņas kļūdas ColdFusion un Campaign Classic; septiņām no tām ir CVSS 10.0. Path traversal kļūdu CVE-2026-48282 uzbrucēji sāka izmantot dažu stundu laikā pēc publiskošanas.