מאגר החולשות של CyberNow: הסבר בעברית פשוטה על חולשות אבטחה מוכרות — מה כל חולשה עושה, מי מושפע ממנה, האם היא מנוצלת בפועל, ומה צריך לעשות כדי להתגונן.
תיקון בליבת לינוקס מוסיף בדיקה לפני השלמת סיכום הביקורת של מנות IPv4, אחרי שהתגלה שמנה עם נתונים פגומים משבשת את כותרת הרשת. ציון 9.3, וכך מתקנים בפועל.
שרת הקבצים Rejetto HFS בגרסאות 3.0.0 עד 3.2.0 גוזר את מפתח חתימת העוגיות מ-Math.random וחושף את תוצרי אותו מחולל, כך שתוקף יכול לייצר לעצמו עוגיית מנהל. העדכון הוא 3.2.1.
באג בשירות הניהול הרשתי של RouterOS מאפשר לתוקף להריץ קוד בהרשאות root על נתב MikroTik בבקשה אחת ובלי להזדהות. הציון 9.3, ואיפה מוצאים את רשימת הגרסאות המושפעות.
בפרויקט הקוד הפתוח rust-iot-platform רוב נתיבי ה-API אינם מצהירים על בדיקת הזדהות, ולכן אפשר לנהל דרכם חשבונות משתמש בלי פרטי אימות. הציון הוא 9.3 מתוך 10, ולפרויקט אין מספור גרסאות.
בגרסאות Redpanda עד 26.2.2 ממשק הניהול מאזין בפורט 9644 בלי לדרוש הזדהות, וכל מי שמגיע אליו נחשב superuser. כך בודקים אם ההגדרה פתוחה אצלכם וכך סוגרים אותה.
בגרסאות עד 1.10.0 לוח הבקרה של Argo Rollouts מאזין לכל הרשת ומבצע פעולות שמשנות פריסות בלי אימות והרשאות. אלה שש הפעולות שנפתחות וכך מגבילים את הגישה.
בנתב D-Link DIR-822A התגלתה חולשה בציון 9.3 ברכיב שמחלק כתובות רשת, קוד הניצול כבר פורסם וברשומה אין גרסה שסוגרת אותה. כך בודקים אם זה הדגם שלכם.
בספריית ה-ssl של Erlang/OTP, לקוח שפותח חיבור TLS 1.3 עלול להשלים אותו בלי לבדוק את התעודה של הצד השני. אלה גרסאות OTP שסוגרות את החולשה בציון 9.3.
מי שמחזיק במפתח הציבורי של שירות שמשתמש ב-python-jose יכול לייצר token מזויף שעובר אימות, אם רשימת האלגוריתמים לא הוגבלה במפורש. זה תיקון חלקי לחולשה קודמת, וכך סוגרים אותו.
שירות שרץ ברקע בנתבי Zbtlink מריץ פקודות בהרשאות root לכל מי ששולח אליו חבילת UDP, והאימות שלו ניתן לעקיפה. אלה הדגמים והקושחות המושפעים ומה אפשר לעשות.
בקר ה-SSD מדגם Phison PS3111-S11 בודק את חתימת הקושחה מול מפתח שמגיע בתוך אותה קושחה עצמה, כך שתוקף יכול לחתום קושחה משלו ולהחדיר אותה לכונן.
רכיב בשם yunmgrd שמגיע בקושחה של עשרות דגמי נתבים מדבר עם שרת חיצוני בערוץ גלוי ולא מאומת, ומי שיושב על מסלול התקשורת יכול להריץ עליו פקודות בהרשאות root.
RouterOS השווה רק חלק מהמפתח הציבורי בהתחברות SSH, כך שמי שמכיר מפתח מורשה יכול לזייף חתימה ולהתחבר בשמו. תוקן בגרסאות 6.49.21, 7.23.4 ו-7.24.2.
חולשה בכלי סנכרון הקבצים rclone מאפשרת לתוקף לא מזוהה לכבות את דרישת האימות בממשק הבקרה ולהגיע לפעולות ניהוליות. יש תיקון.
באג הידור ב-Wasmtime על מעבדי ARM מפריד בין הכתובת שנבדקת לבין הכתובת שנקראת בפועל, ומאפשר למודול WebAssembly לקרוא ולכתוב בזיכרון המארח. הניצול דורש כמה תנאים במקביל, והתיקון נמצא בגרסאות 36.0.7, 42.0.2 ו-43.0.1.
משתמש שמוגבל לפרויקט אחד ב-Incus יכול לקבוע את האפשרויות שעוברות אל פקודת הפרמוט של השרת, שרצה בהרשאות root. הטווח מתחיל ב-7.3.0 והתיקון נמצא ב-7.5.0.
חולשה ב-389-ds-base מאפשרת לתוקף שיושב על הנתיב להחדיר הודעת LDAP בזמן המעבר ל-TLS, כך שאפליקציה מקבלת תשובה שאינה שלה ומתייחסת לאימות שנכשל כאילו עבר.
התוסף WooCommerce Wholesale Lead Capture מקבל קבצים מסוג מסוכן בלי הזדהות, בכל הגרסאות עד 2.0.3.1 ועד בכלל. כך בודקים אם הוא מותקן אצלכם ומה עושים.
חולשה ב-Next.js מאפשרת לבקשה מהרשת לצאת מתיקיית המטמון ולקרוא נתוני בנייה פרטיים, כולל מפתח הצפנה שמוביל להרצת קוד. היא רלוונטית רק לאפליקציות שמתארחות על Windows.
חולשה בתוסף Elementor Pro לוורדפרס מאפשרת להעלות לאתר קובץ מסוכן בלי הזדהות, בכל הגרסאות עד 4.2.1 כולל. כך בודקים אם האתר שלכם מעודכן.
רכיב של תוכנת הקלט Sogou ל-Windows שולף את ההגדרות שלו דרך חיבור לא מוצפן, ומי שיכול להתערב בתעבורה יכול לשתול דרכו קבצים ולהריץ קוד. למי זה נוגע ומה אפשר לעשות עכשיו.
חולשה ב-TeamViewer בגרסאות שקודמות ל-15.83 מאפשרת למחשב שאתם מתחברים אליו להקריס את התוכנה אצלכם, ולפי היצרן גם להריץ קוד בהרשאות שלה. כך בודקים איזו גרסה מותקנת.
הנתיב שנועד לבדוק קוד של guardrail ב-LiteLLM מוביל להרצת קוד על השרת, ודי בחשבון רגיל כדי להגיע אליו. הרשומה מסמנת כחשוף כל מה שעד 8 באפריל 2026.
חולשה ב-.NET Framework מאפשרת למשתמש עם חשבון קיים על המחשב לגרום לכך שהקוד שלו ייטען במקום רכיב לגיטימי, וכך לעקוף מנגנון אבטחה. הציון 8.8, והתיקון מגיע דרך Windows Update.
חולשה ב-OWA של Microsoft Exchange מאפשרת לתוקף לשתול תוכן או סקריפט בדף הדואר דרך קישור שהקורבן לוחץ עליו. הציון 8.8, והתיקון נמצא בעדכון האבטחה של מיקרוסופט.
חולשה ברכיב ה-Java של Apache OpenOffice 4.1.16 ומטה מאפשרת למסמך שהגיע ממקור לא מוכר להריץ קוד על המחשב ברגע שפותחים אותו. גרסת התיקון עוד לא יצאה, וזה מה שאפשר לעשות בינתיים.
הסוכן prometurbo של IBM Turbonomic הוגדר עם הרשאות רחבות מדי, ובהן קריאה לכל ה-secrets באשכול. מי שמשתלט עליו מקבל את פרטי האימות של כל השירותים.
חולשה ב-Citrix NetScaler ADC וב-NetScaler Gateway מאפשרת לתוקף לא מזוהה לשלוף תוכן זיכרון מהמכשיר, אבל רק אם הוגדר כספק זהויות SAML. כך בודקים אם התצורה הזאת אצלכם ואלה גרסאות התיקון.
בקשת HTTP/1 בפורמט לא שגרתי גורמת ל-Traefik לקבל את החלטותיו על נתיב אחד ולהעביר לשרת שמאחוריו נתיב אחר. הגרסאות המתקנות הן 2.11.57 ו-3.7.13.
בתוסף All-in-One WP Migration and Backup עד גרסה 7.109 יש חולשת SQL Injection שנפתחת בזמן שחזור גיבוי, ומשם אפשר להגיע להרצת קוד על האתר. כך בודקים אם האתר שלכם מעודכן.
חולשת גלישת חוצץ ב-NetScaler ADC ו-NetScaler Gateway מאפשרת לתוקף לא מזוהה לפגוע בזמינות המכשיר. אלה טווחי הגרסאות המושפעים ואיך מתעדפים את השדרוג.
בגרסאות diffusers שלפני 0.38.0, המנגנון שאמור לחסום קוד ממאגר זר יושב בפונקציית ההורדה, כך שכל מסלול טעינה שמדלג על ההורדה מדלג גם עליו. כך בודקים ומה מעדכנים.
באג ב-diffusers של Hugging Face גורם לטעינת מודל רגילה להוריד ולהריץ קובץ בשם None.py מהמאגר, גם בלי לאשר קוד מרוחק. הגרסה שסוגרת היא 0.38.0.
ה-endpoint שמשנה הגדרות ב-LiteLLM לא בדק אם הפונה הוא מנהל, ולכן כל בעל חשבון יכול היה לקרוא קבצים מהשרת, להשתלט על חשבונות מנהל ולהריץ קוד. תוקן בגרסה 1.83.0.
פרמטר אחד ב-endpoint של תוסף התמיכה Support Board לוורדפרס מאפשר לקרוא ולשנות את מסד הנתונים של האתר. הגרסה המתקנת היא 3.7.8, וכך בודקים מה מותקן אצלכם.
חולשה ב-OpenClaw בגרסאות שלפני 2026.8.1 מאפשרת למי שאינו הבעלים להפעיל כלים ולהגיע לפרטי אימות שיועדו לבעלים בלבד, כי הידיעה מי שלח את הבקשה לא עוברת הלאה. כך מעדכנים.
חולשה ב-FreeIPA, מערכת ניהול הזהויות של סביבות לינוקס, מאפשרת למי שיש לו הרשאות כתיבה ב-LDAP לרשום שירות בשם שנחשב זהה לשירות מורשה קיים ולקבל את כרטיסי Kerberos שלו. אלה העדכונים שסוגרים אותה.
בגרסאות OpenClaw שלפני 2026.8.1 שיחה קולית נכנסת הפעילה את הסוכן בלי להעביר לו מי המתקשר, כך שכלים שהוגדרו לבעל המערכת נפתחו לזר. התיקון בגרסה 2026.8.1.
בקשה בנויה נכון לממשק WebFig של RouterOS שולפת קבצים ששמורים למשתמש בעל ההרשאות הגבוהות, כולל קובצי הגדרות עם פרטי אימות. כך בודקים אם הנתב שלכם מעודכן.
גשר פתוח בפורט 9991, מפתח הצפנה קבוע שכל משתמש יכול לקרוא, ומעבר בין תיקיות. יחד הם מאפשרים למי שנמצא באותה רשת להריץ קוד על הרובוט בהרשאות הגבוהות ביותר.
חולשה באפליקציית האימות של מיקרוסופט מאפשרת לתוקף עם גישה פיזית למכשיר להסלים הרשאות ולחרוג מגבולות האפליקציה. כל גרסה שקודמת ל-6.2606.4246 חשופה, וכאן מוסבר איך בודקים את מספר הגרסה ומה עושים אם הטלפון אבד.
פיני שחזור חשופים על הלוח של Autel MaxiCharger Single מאפשרים למי שמגיע פיזית לעמדה להריץ עליה קוד משלו ולחלץ את הקושחה. הציון הוא 8.6, והשאלה המעשית היא איפה העמדה שלכם עומדת.
ב-Nacos שלפני גרסה 1.4.1, אחד משני ה-endpoint-ים של רכיב הניהול לא קיבל את הגדרת ההגנה שחברו קיבל, ולכן פנייה אליו אינה דורשת הזדהות. התיקון נמצא ב-1.4.1, והחולשה נוגעת רק להתקנות עם אחסון מוטבע.
ב-Nacos שלפני 1.4.1 רכיב האימות פוטר מבדיקה בקשות שמגיעות משרת אחר באשכול, ומזהה אותן לפי כותרת user-agent שאפשר לכתוב בעצמך. הגרסה שסוגרת את החולשה היא 1.4.1.
מאגר קוד שמכיל הגדרת git אחת גורם ל-Hermes Agent להריץ פקודה של התוקף ברגע שנשלחת אליו הודעה, וחושף את מפתחות ה-API שבסביבה. התיקון נכנס בקומיט f6234d0.
ברכיב שמפרסר הודעות בקרה של L2TP בנתב D-Link DIR-822A נמצאה חולשה בציון 8.6 שכותבת מעבר לאזור שהוקצה לה. קוד הניצול פומבי וברשומה אין גרסה מתקנת, אז מה כן אפשר לעשות.
חולשה ב-LibreOffice Calc מאפשרת למסמך להצביע על מנהל התקן Java שנמצא בשרת מרוחק, כך שפתיחת הקובץ מריצה קוד מאותו שרת. כך בודקים ומה משנים בהגדרות.
בגרסאות OpenClaw שלפני 2026.8.1 אישור קבוע לפקודה לא נקשר לתיקייה שבה ניתן, ולכן אותה פקודה יכלה לרוץ על קבצים שאף אחד לא בדק. התיקון בגרסה 2026.8.1.
בקשה ל-Incus שמשמיטה את השדה source.type מאפשרת למשתמש שמוגבל לפרויקט אחד להעתיק ולקרוא נפחי אחסון של פרויקטים אחרים. הגרסאות שסוגרות הן 7.0.2 בענף האחד ו-7.5.0 בשני.
חולשה ב-JetBrains TeamCity לפני 2025.11.8 ולפני 2026.1.4 מאפשרת הרצת קוד מרחוק דרך עקיפה של רשימת ההיתר בפרוטוקול הודעות הבנייה. אלה הגרסאות שסוגרות אותה.
כתבות חדשות ישירות לתיבה. בלי ספאם, הסרה בקליק אחד בכל רגע.