#alert
21 wpisów
Linux: Dwa błędy w obsłudze iSCSI prowadzą do zdalnego paraliżu jądra
W jądrze Linuxa załatano dwie luki w module iSCSI, które umożliwiały zdalny atak. Błędy typu double-free i over-read mogły prowadzić do awarii systemów storage w polskich firmach.
Krytyczna luka w Aimogen Pro. Eskalacja uprawnień w WordPress
Luka CVE-2026-15982 w popularnej wtyczce AI do WordPressa, Aimogen Pro, pozwala na przejęcie kontroli nad stroną. Problem dotyczy wszystkich wersji do 2.8.4 włącznie i nie ma jeszcze oficjalnej łatki.
Krytyczna luka RCE w 9Router (CVE-2026-59800)
Luka w 9Router z oceną CVSS 9.8 pozwala na zdalne wykonanie kodu bez uwierzytelnienia. Zaobserwowano aktywne próby eksploatacji. Aktualizacja jest krytyczna.
Ukryty backdoor w routerach Tenda. CVE-2026-11405 daje pełny dostęp
W co najmniej 5 liniach produktowych routerów Tenda wykryto celowo wbudowany backdoor. Umożliwia on uzyskanie dostępu administracyjnego każdemu, kto zna ukryte hasło, omijając zabezpieczenia ustawione przez użytkownika.
Krytyczna luka w BeyondTrust: obejście logowania w RS i PRA
Wykryto cztery luki w popularnych narzędziach BeyondTrust, w tym krytyczną CVE-2026-40138. Umożliwia ona obejście uwierzytelniania i przejęcie dostępu do urządzeń w polskim biznesie.
Krytyczna luka w Plesk: CVE-2026-48614 pozwala na przejęcie serwera
Luka oznaczona wynikiem 9.9 w skali CVSS pozwala uwierzytelnionemu użytkownikowi na pełną eskalację uprawnień na serwerach z popularnym panelem hostingowym Plesk. Problem dotyczy XML API.
Leantime: Luka CVE-2026-59712 pozwala na wyciek haseł i kluczy 2FA
Luka w popularnym narzędziu open-source do zarządzania projektami Leantime pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie danych logowania wszystkich kont. Dotyczy to także polskich firm korzystających z tego oprogramowania.
Krytyczna luka SQL Injection w GeekyBot (CVE-2026-57679)
Wykryto krytyczną lukę SQL Injection w oprogramowaniu GeekyBot do wersji 1.2.5. Umożliwia ona nieautoryzowany dostęp do bazy danych i potencjalne przejęcie kontroli nad aplikacją.
Luka w Export User Data dla WordPress: od usunięcia plików do RCE
Wtyczka Export User Data dla WordPress w wersjach do 2.2.6 jest podatna na usunięcie plików, co może prowadzić do zdalnego wykonania kodu. Atak wymaga uwierzytelnienia na poziomie subskrybenta i akcji administratora.
Krytyczna luka SQL Injection w Real Estate 7 (CVE-2026-54827)
Wykryto krytyczną lukę (CVSS 9.3) w oprogramowaniu Real Estate 7. Umożliwia ona nieautoryzowane przejęcie bazy danych. Polskie firmy z branży nieruchomości powinny zweryfikować swoje systemy.
Luka RCE w IBM WebSphere: alert dla polskiego sektora enterprise
Podatność o ocenie 7.5 CVSS w IBM WebSphere Application Server pozwala na zdalne wykonanie kodu. Problem dotyczy wtyczki serwera WWW i wymaga pilnej weryfikacji w dużych organizacjach.
Krytyczna luka w Apache APISIX (CVE-2026-44087) pozwala ominąć logowanie
Luka z oceną 9.1 w skali CVSS w popularnym API gateway Apache APISIX umożliwia fałszowanie tożsamości. Dotyczy to wersji od 2.3 do 3.16.0. Rekomendujemy pilną aktualizację.
Krytyczna luka w Oracle WebLogic Server (CVE-2026-35301, CVSS 10.0)
Luka CVE-2026-35301 w Oracle WebLogic Server otrzymała maksymalną ocenę 10.0. Umożliwia zdalne przejęcie serwera bez uwierzytelnienia i wymaga natychmiastowej reakcji administratorów.
Krytyczna luka w Kids Online Store: RCE przez upload plików (CVE-2026-40750)
Luka CVE-2026-40750 z oceną 9.9/10 pozwala na przejęcie serwera w skrypcie sklepu Kids Online Store. Dotyczy to wszystkich wersji do 0.8.9 i nie wymaga uwierzytelnienia od atakującego.
Check Point: Luka CVE-2026-50752 w IKEv1 zagraża tunelom VPN
Luka w przestarzałym protokole IKEv1 w produktach Check Point może pozwolić na przechwycenie ruchu VPN. Problem oznaczony jako CVE-2026-50752 otrzymał ocenę 7.4 CVSS i dotyczy połączeń site-to-site.
Krytyczna luka RCE w motywie WordPress Seotheme (CVE-2023-54352)
Luka w popularnym motywie WordPress Seotheme otrzymała wysoką ocenę 9.8/10. Pozwala na zdalne wykonanie kodu bez uwierzytelnienia, co może umożliwić pełne przejęcie serwera. Problem dotyczy wielu polskich stron firmowych i blogów.
CVE-2026-10184: SQL Injection w systemie danych medycznych
Publicznie dostępny exploit pozwala na zdalne wstrzyknięcie SQL w systemie do zarządzania danymi pacjentów. Analizujemy wektor i implikacje dla polskich podmiotów medycznych.
Luka w Chrome (CVE-2026-9120) pozwala na zdalne wykonanie kodu
Krytyczna luka w Google Chrome umożliwia przejęcie kontroli nad przeglądarką po wejściu na spreparowaną stronę. Aktualizacja jest dostępna i konieczna do instalacji.
Claw Chain: 4 luki w OpenClaw pozwalają na przejęcie kontroli
Ujawniono łańcuch czterech podatności w platformie OpenClaw, pozwalający na kradzież danych i instalację backdoorów. Zalecamy natychmiastową aktualizację do wersji 2026.4.22.
Alert: Luka XSS w Verint Verba zagraża danym administratorów (CVE-2026-21730)
Nieuwierzytelniony atakujący może przejąć sesję administratora w popularnym systemie do rejestracji interakcji Verint Verba. Podatność typu Stored XSS jest trywialna do wykorzystania. Rekomendujemy natychmiastową aktualizację.
MCPHub: obejście uwierzytelniania grozi przejęciem kont
W MCPHub poniżej wersji 0.11.0 atakujący mogą wykonywać działania w imieniu innych użytkowników bez logowania.