Codzienne aktualności, analizy i poradniki: co się wydarzyło, kogo dotyczy zagrożenie i co zrobić dalej. Tę wiedzę przekładamy także na praktyczne szkolenia dla organizacji.
Podatności i CVE Dwie ścieżki wyczerpania tablicy atomów, wyciek pól objętych polityką, brak walidacji constraints i błędy URL pokazują ryzyko na styku Elixir–TypeScript.
Chmura, infrastruktura i DevSecOps Command injection w Plesk for Linux pozwala klientowi lub resellerowi z dostępem shell podnieść uprawnienia do root. Naprawy są w 18.0.79.9 i 18.0.80.5.
Łańcuch dostaw Nazwa pakietu z path traversal pozwalała instalacji pnpm nadpisać dowolne pliki, nawet przy --ignore-scripts. Poprawki są w 10.34.5 i 11.11.0.
Podatności i CVE WPLP Cookie Consent do WordPressa pozwalał ominąć autoryzację i przesłać dowolny plik. Wersje do 4.4.1 wymagają pilnej aktualizacji do 4.4.2.
Bezpieczeństwo AI Sześć podatności w ash_ai pokazuje, że bezpieczeństwo agenta zależy od całego runtime: renderowania promptu, filtrów rekordów, obsługi błędów, MCP i pętli narzędzi.
Bezpieczeństwo AI Brak kontroli granicy katalogu w narzędziach Agent Mode pozwalał modelowi pisać i usuwać pliki z uprawnieniami backendu Theia. Poprawka jest w 1.75.0.
Podatności i CVE Słaby 32-bitowy token w mechanizmie connect pozwalał gościowi uruchomić instalację i aktywację wtyczki z wybranego URL. Naprawa jest w ProfilePress 4.17.2.
Podatności i CVE Brak autoryzacji w send_link() i niewłaściwa walidacja tokenu activate() pozwalają przejąć niepotwierdzone konto WordPress, nawet należące do administratora.
Tożsamość i dostęp Biblioteka OIDC dla Erlanga akceptowała JWE z dowolnymi claims bez zagnieżdżonego podpisu. Wyjaśniamy różnicę między szyfrowaniem a uwierzytelnieniem.
Łańcuch dostaw CVE-2026-82417 i CVE-2026-82562 pokazują, jak nietypowy kształt obiektu oraz przecinki w a[] mogą ominąć założenia parsera i wywołać awarię lub presję pamięci.
Chmura, infrastruktura i DevSecOps Błąd walidacji certyfikatu pozwala napastnikowi na trasie przechwycić poświadczenia administratora vCenter podczas rutynowego wywołania CPI.
Bezpieczeństwo AI CVE-2026-19286 i CVE-2026-19295 pokazują, jak publiczny agent, eval typów i niespójna autoryzacja mogą przejąć serwer platformy AI.
Chmura, infrastruktura i DevSecOps CVE-2026-81490, 81517, 81518 i 81520 pokazują, jak most SQL–MongoDB może ujawnić dane lub utracić dostępność jeszcze przed pełnym logowaniem.
Zagrożenia i incydenty Techniczna analiza kampanii przypisywanej rosyjskiemu GRU: backdoory w instalatorach, tunele OpenSSH/Tor, smart kontrakt i kradzież danych z Androida.
Chmura, infrastruktura i DevSecOps CVE-2025-30156, CVE-2026-39944, CVE-2026-50152 i CVE-2026-54330 pokazują, jak szyfrowanie bez integralności i niespójna autoryzacja prowadzą do przejęcia klastra.
Raz w miesiącu zwięzłe podsumowanie istotnych podatności i zagrożeń. Bez spamu, wypiszesz się w każdej chwili.
Przekładamy bieżące zagrożenia na szkolenia dopasowane do ról, bezpieczne ćwiczenia i jasny sposób zgłaszania problemów. Darmowa Akademia pozostaje ścieżką do samodzielnej nauki.
