כל הכתבות של CyberNow בנושא חולשות — 169 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 15 מתוך 17.
צוות האבטחה של DigitalOcean חסם ניסיון כניסה לממשק ניהול של אתר וורדפרס, וגילה שלתוקף כבר הייתה עוגיית אדמין תקפה. שתי חולשות בתוסף ה-SAML של miniOrange איפשרו לזייף חתימה ולהיכנס כמנהל, ובגלל שהתוסף מפיץ שבע מהדורות תחת מזהה אחד, שום מסד נתוני חולשות לא ידע לסמן את האתרים שנשארו חשופים.
בדגם נתב ביתי של Calix, המנגנון שאמור לפתוח מעברים רק לאפליקציות שרצות בתוך הבית מקשיב גם לצד האינטרנט, בלי סיסמה. אין עדיין תיקון, והיצרן לא הגיב לחוקר שדיווח לו ביוני.
AIT-GUI, הקונסולה מבוססת הדפדפן של ערכת הכלים לתחנות קרקע של NASA/JPL, עולה על כל ממשקי הרשת בלי מסך התחברות ובלי הגנה מפני בקשות ממקור זר. גם התקנה שיושבת מאחורי חומת אש חשופה, כי הדפדפן של המפעיל יכול לשלוח את הבקשה במקומו.
שישה ספקי CDN גדולים מדברים HTTP/3 מול הגולש אבל HTTP/1.1 מול שרת המקור. חוקרים מארבע אוניברסיטאות הראו ששני חצאי החיבור האלה מאפשרים להגביר תעבורה זעירה פי 350, וספרו 42,330 תת-דומיינים שעומדים בכל התנאים.
התוסף המותקן ביותר בעולם הוורדפרס, של חברה ישראלית מרמת גן, בדק את הקובץ שנשלח בטופס בלולאה אחת ושמר אותו בלולאה אחרת. הפער בין השתיים איפשר לכל אחד להשתיל קובץ PHP באתר. התיקון בגרסה 4.2.2.
חמישה פרסומי אבטחה קריטיים יצאו השבוע על מוצרים שיושבים בליבה של רשתות ארגוניות. בשלושה מהם כבר יש ניצול מתועד, ובאחד התיקון יצא לפני חודש בדיוק.
חוקרי Adversa AI הראו שהצפנה של הוראות זדוניות מעבירה אותן מתחת לרדאר של מנגנוני הסינון, כי הם לא יכולים לקרוא אותן. את הפענוח עושה המודל עצמו. לפי החברה, xAI לא הגיבה מאז יוני ותיקון עדיין אין.
חוקרים מ-Cloudflare ומאוניברסיטת אדינבורו הראו איך Worker אחד קורא זיכרון של Worker אחר שרץ באותו תהליך, בקצב של 12 ביט בשנייה ובדיוק של 99.16 אחוז. השעון שאיפשר את זה נבנה מהודעות WebSocket לשרת מרוחק.
סוכן מחקר אוטונומי של Wiz פתח issue במאגר קוד פתוח של Snowflake, ותוך שניות ה-token של ה-Jira הפנימי של החברה יצא החוצה. במרכז הסיפור שינוי קוד אחד שהחליף דפוס בטוח בשורה שמריצה את מה שכותבים בכותרת.
התוסף Forminator בדק את סיומות הקבצים שגולשים מעלים מול רשימה שחורה, ותוקף שכתב את סוג הקובץ קצת אחרת חמק ממנה. התיקון יצא ב-31 ביולי, הפרטים המלאים פורסמו רק עכשיו, וזה בדיוק החלון שבו מתחילות הסריקות.