XMASKNEWS
Aktualizacja:
Help Net SecurityEN→PLHacking

Błąd w Brotli dotyczy znacznie więcej niż tylko Node.js (CVE-2026-111497)

Luka CVE-2026-111497 w bibliotece Brotli od Google umożliwia zdalne wykonanie kodu. Problem dotyczy nie tylko Node.js, ale wielu popularnych technologii.

W popularnej bibliotece kompresji Brotli odkryto krytyczną podatność typu out-of-bounds write, znaną pod nazwami Node2Shell lub Brotli2Shell. Błąd w dekoderze pozwala atakującym na manipulację pamięcią procesu, co może prowadzić do awarii, wycieku danych lub zdalnego wykonania kodu (RCE). Choć problem stał się głośny dzięki Node.js, zagrożonych jest znacznie więcej środowisk.

Czytaj też

SecurityWeekEN→PL

Tailscale spiesczy się na poprawki po niekoordynowanym ujawnieniu luk Tailworm

Tailscale przygotowuje aktualizację rozwiązującą luki w usłudze Tailscale SSH, które zostały publicznie ujawnione przed wydaniem poprawek.

Czego się uczymy
  • Jeśli używasz Tailscale SSH, wyłącz funkcję SSH forwarding w politykach dostępu, aby zminimalizować ryzyko eskalacji uprawnień.
  • W przypadku wykrycia kompromitacji jednego urządzenia w sieci Tailscale, załóż ryzyko automatycznego rozprzestrzenienia się ataku (wormable) na inne serwery.
Hacking
PortSwigger ResearchEN→PL

Skalowalne cierpienie wektorowe

Badania PortSwigger wykazały luki w sześciu z ośmiu popularnych bibliotek do sanityzacji plików SVG, umożliwiając ataki XSS.

Czego się uczymy
  • Można ominąć sanityzację SVG poprzez zmianę przestrzeni nazw elementu na XHTML, co wymusza renderowanie treści jako HTML.
  • Wykorzystanie instrukcji przetwarzania XML do ładowania arkuszy XSLT z adresu data URL pozwala na wykonanie XSS nawet przy bezpiecznym ciele dokumentu.
Hacking