כל הכתבות של CyberNow בנושא חולשות — 147 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 13 מתוך 15.
AIT-GUI, הקונסולה מבוססת הדפדפן של ערכת הכלים לתחנות קרקע של NASA/JPL, עולה על כל ממשקי הרשת בלי מסך התחברות ובלי הגנה מפני בקשות ממקור זר. גם התקנה שיושבת מאחורי חומת אש חשופה, כי הדפדפן של המפעיל יכול לשלוח את הבקשה במקומו.
שישה ספקי CDN גדולים מדברים HTTP/3 מול הגולש אבל HTTP/1.1 מול שרת המקור. חוקרים מארבע אוניברסיטאות הראו ששני חצאי החיבור האלה מאפשרים להגביר תעבורה זעירה פי 350, וספרו 42,330 תת-דומיינים שעומדים בכל התנאים.
התוסף המותקן ביותר בעולם הוורדפרס, של חברה ישראלית מרמת גן, בדק את הקובץ שנשלח בטופס בלולאה אחת ושמר אותו בלולאה אחרת. הפער בין השתיים איפשר לכל אחד להשתיל קובץ PHP באתר. התיקון בגרסה 4.2.2.
חמישה פרסומי אבטחה קריטיים יצאו השבוע על מוצרים שיושבים בליבה של רשתות ארגוניות. בשלושה מהם כבר יש ניצול מתועד, ובאחד התיקון יצא לפני חודש בדיוק.
חוקרי Adversa AI הראו שהצפנה של הוראות זדוניות מעבירה אותן מתחת לרדאר של מנגנוני הסינון, כי הם לא יכולים לקרוא אותן. את הפענוח עושה המודל עצמו. לפי החברה, xAI לא הגיבה מאז יוני ותיקון עדיין אין.
חוקרים מ-Cloudflare ומאוניברסיטת אדינבורו הראו איך Worker אחד קורא זיכרון של Worker אחר שרץ באותו תהליך, בקצב של 12 ביט בשנייה ובדיוק של 99.16 אחוז. השעון שאיפשר את זה נבנה מהודעות WebSocket לשרת מרוחק.
סוכן מחקר אוטונומי של Wiz פתח issue במאגר קוד פתוח של Snowflake, ותוך שניות ה-token של ה-Jira הפנימי של החברה יצא החוצה. במרכז הסיפור שינוי קוד אחד שהחליף דפוס בטוח בשורה שמריצה את מה שכותבים בכותרת.
התוסף Forminator בדק את סיומות הקבצים שגולשים מעלים מול רשימה שחורה, ותוקף שכתב את סוג הקובץ קצת אחרת חמק ממנה. התיקון יצא ב-31 ביולי, הפרטים המלאים פורסמו רק עכשיו, וזה בדיוק החלון שבו מתחילות הסריקות.
בהתראה שמיקרוסופט פרסמה מופיעות שתי שורות שלא נוח לראות יחד: קוד ניצול כבר פומבי, ועדכון עוד לא קיים. החולשה יושבת במנוע הסריקה של Defender, ההגנה שמותקנת כברירת מחדל כמעט בכל מחשב Windows.
שרשרת התקיפה שפרסמה SSD Secure Disclosure מגיעה עד ליבת מערכת ההפעלה בטלפונים עם שבבי Unisoc, בהם Motorola E13, Realme C33 ו-Xiaomi Redmi A5. אין תיקון, אין מזהה רשמי, והחוקרים מספרים שהיצרן לא הגיב לפניות שלהם מאז מרץ.