#uwierzytelnianie
11 wpisów
CVE-2026-55040: obejście logowania w SharePoint Server jest wykorzystywane w atakach
Luka w walidacji tokenów JWT pozwala nieuwierzytelnionemu napastnikowi podszyć się pod użytkownika, w tym administratora witryny. Ocena 9.1 CVSS, kod dowodowy publiczny od 11 sierpnia, ataki ruszyły w ciągu godzin. CISA dopisała podatność do katalogu aktywnie wykorzystywanych.
Luka w popularnej wtyczce WordPress pozwala na przejęcie kontroli nad stroną
Luka CVE-2026-13142 w popularnej wtyczce do logowania bezhasłowego pozwala na przejęcie konta administratora. Problem dotyczy wersji przed 1.4.1 i wymaga natychmiastowej aktualizacji.
Krytyczna luka w VMware Avi Load Balancer (CVE-2026-47865)
Broadcom załatał 7 luk w VMware Avi, w tym krytyczne obejście uwierzytelniania (CVE-2026-47865). Atakujący z dostępem do sieci może przejąć kontrolę nad load balancerem.
CVE-2026-44745: Luka w SAP Approuter pozwala na przejęcie dostępu
Wykryto lukę w komponencie SAP Approuter z oceną 8.1 CVSS. Nieautoryzowany atakujący może uzyskać dostęp do danych firmowych przez spreparowany link, co stanowi ryzyko dla polskich przedsiębiorstw korzystających z systemów SAP.
Krytyczna luka w BeyondTrust: obejście logowania w RS i PRA
Wykryto cztery luki w popularnych narzędziach BeyondTrust, w tym krytyczną CVE-2026-40138. Umożliwia ona obejście uwierzytelniania i przejęcie dostępu do urządzeń w polskim biznesie.
Krytyczna luka w Crawl4AI (CVE-2026-56265): ryzyko dla projektów AI
Luka z oceną CVSS 9.8 w narzędziu Crawl4AI pozwala na pełne przejęcie konta. Problem wynika z zakodowanego na stałe klucza JWT i stanowi przestrogę dla polskich zespołów deweloperskich.
Krytyczna luka w Cap-go: obejście OTP i przejęcie konta
Luka o krytyczności 9.3 w Cap-go pozwala na obejście weryfikacji jednorazowym kodem (OTP) i przejęcie konta użytkownika. Problem dotyczy wersji starszych niż 12.128.2. Nie ma jeszcze oficjalnej łatki.
Krytyczna luka w Apache APISIX (CVE-2026-44087) pozwala ominąć logowanie
Luka z oceną 9.1 w skali CVSS w popularnym API gateway Apache APISIX umożliwia fałszowanie tożsamości. Dotyczy to wersji od 2.3 do 3.16.0. Rekomendujemy pilną aktualizację.
CVE-2026-39998: Luka w Apache APISIX pozwala na fałszowanie tożsamości
Wykryto lukę w bramce API Apache APISIX z oceną CVSS 8.8. Błąd w wersjach do 3.16.0 może pozwolić na ominięcie uwierzytelniania poprzez manipulację nagłówkami. Zalecana jest natychmiastowa aktualizacja.
Krytyczna luka w bramach Waterfall WF-500: Zdalne przejęcie kontroli
Luka z oceną 9.8 CVSS w popularnych bramach przemysłowych Waterfall WF-500 pozwala na pełne przejęcie kontroli bez uwierzytelniania. Problem dotyczy polskiego sektora energetycznego i infrastruktury krytycznej.
PAC4J: dwie krytyczne luki w bibliotece uwierzytelniania
CERT Polska opublikował informacje o dwóch podatnościach w popularnej bibliotece PAC4J: ataku CSRF umożliwiającym zmianę haseł oraz luce LDAP Injection. Rekomendowana aktualizacja do wersji naprawionej.