Mogę Ci jakoś pomóc?
11 marca 2025 roku przez 109 minut podmieniony reviewdog/action-setup wypisywał sekrety do dzienników GitHub Actions, także w pięciu akcjach pochodnych. Sprawdź, czy budowaliście projekt w tym oknie, i wymień klucze.
Czytaj wpis
Błąd równoważności ścieżek w Apache Tomcat pozwala przez częściowy PUT zapisać treść poza przewidzianym miejscem i uruchomić kod na serwerze. Prognoza wykorzystania bliska pewności. Zaktualizuj do 9.0.99, 10.1.35 lub 11.0.3 i sprawdź konfigurację.
Czytaj wpis
Błąd w Langflow (CVE-2025-3248) pozwala każdemu z internetu wykonać kod na serwerze bez logowania. CISA potwierdza użycie w ransomware. Zaktualizuj Langflow do 1.3.0 lub nowszego albo go wyłącz i wymień zapisane klucze.
Czytaj wpis
Błąd w OverlayFS jądra Linux pozwala użytkownikowi bez uprawnień zostać administratorem maszyny. CISA potwierdza ataki, poprawki są od 2023 roku. Zaktualizuj jądro z restartem i przejrzyj konta na serwerach.
Czytaj wpis
Błąd w Action View pozwala bez logowania odczytać pliki z serwera aplikacji Rails, w tym hasła i klucze. Poprawka jest od 2019 roku, ale CISA potwierdza aktualne ataki, a exploit jest publiczny. Sprawdź wersje Rails.
Czytaj wpis
Niewidoczny znak końca wiersza w konfiguracji podmodułów Git pozwala uruchomić skrypt napastnika zaraz po pobraniu projektu. CISA potwierdza ataki. Zaktualizuj Git, Visual Studio i Xcode na laptopach i serwerach budujących.
Czytaj wpis
Stara luka w Jenkinsie pozwala bez hasła uruchomić dowolny kod przez kanał poleceń CLI. Gotowy exploit jest publiczny od lat, a CISA potwierdziła ataki w 2025 roku. Zaktualizuj Jenkinsa i wyłącz stary protokół CLI.
Czytaj wpis
Luka w Grafanie 8.0.0-8.3.0 pozwala każdemu z internetu pobrać pliki z dysku serwera, w tym hasła do baz danych. CISA potwierdza ataki. Zaktualizuj Grafanę, odetnij panel od internetu i wymień hasła.
Czytaj wpis
Luka w komponentach serwerowych React pozwala bez logowania uruchomić kod na serwerze strony, także na Next.js. Ataki ruszyły w kilka godzin, CISA potwierdza ransomware. Zaktualizuj aplikację i sprawdź serwer.
Czytaj wpis
Błąd w Gogs do wersji 0.13.3 pozwala zwykłemu użytkownikowi przejąć serwer z kodem firmy. Wiz wykrył ponad 700 przejętych serwerów, CISA potwierdza ataki. Zaktualizuj do 0.13.4+, wyłącz otwartą rejestrację.
Czytaj wpis
Luka w narzędziu Vite pozwala odczytać dowolne pliki z komputera programisty, gdy serwer roboczy jest wystawiony w sieci. CISA potwierdza ataki. Zapytaj wykonawcę strony o wersję Vite i miejsce przechowywania kluczy.
Czytaj wpis Cztery wersje popularnego pakietu npm eslint-config-prettier zawierały celowo wstawiony złośliwy kod uruchamiany przy instalacji na Windows. CISA potwierdza wykorzystanie. Sprawdź projekty i wykonawców, a przy trafieniu wymień klucze.
Czytaj wpisKlikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.
