0day Alert

Критическая уязвимость найдена в плагине для WooCommerce и WordPress Defused Cyber зафиксировала попытки эксплуатации уязвимости CVE-2026-81648 в плагине CryptoPayment Gateway, которая получила 10 баллов из 10 по шкале CVSS 3.1. Под угрозой находятся версии 1.2.1 и 1.2.2, при этом исправления пока нет, а последняя версия остаётся самой новой. Причина уязвимости кроется в отсутствии проверки прав доступа в одном из AJAX-обработчиков плагина. Из-за этого посторонний пользователь без входа в учётную запись может удалять файлы сервера, менять платёжные настройки и извлекать данные криптокошельков в открытом виде. Поскольку патча нет, владельцам сайтов рекомендуют удалить плагин и заменить ключи и другие секреты кошельков. После этого стоит проверить настройки платежей и файлы сервера, так как обычное обновление WordPress ошибку внутри дополнения не устранит. #wordpress #уязвимость #плагин #криптоплатежи @ZerodayAlert

Крупнейшая криптобиржа Бразилии сообщила об атаке на свои системы Атака на Mercado Bitcoin произошла в ночь на 2 ноября, после чего с кошельков биржи вывели активы более чем на $46 млн. Компания быстро пресекла атаку, временно приостановила ввод и вывод криптовалюты и обратилась к компетентным органам. Биржа утверждает, что клиенты не понесли убытков, а персональные данные не утекли. Однако анализ Bitquery выявил переводы с 35 853 депозитных адресов клиентов в сети Ethereum, а подозрительные операции, по оценке исследователей, продолжались и после заявления о локализации инцидента. Часть похищенных средств удалось заблокировать: Mercado Bitcoin сообщила о заморозке активов на $11,2 млн, а Tether подтвердила блокировку около $4,5 млн. К поиску похищенной криптовалюты подключилась Chainalysis, а компания опубликовала адреса кошельков, чтобы участники рынка могли отслеживать переводы. #mercadobitcoin #криптобиржа #взломбиржи #блокчейн @ZerodayAlert

Новая кампания слежки: Apple предупредила журналистов и других пользователей Apple разослала уведомления о возможных целевых атаках пользователям в 99 странах. Масштаб кампании подтвердил исследователь угроз Костин Райю, но доступные журналы событий пока не позволяют установить, кто за ней стоит. Среди получателей оказались журналисты, которые уже сталкивались со взломами. Руководитель турецкого бюро Middle East Eye Рагып Сойлу получил три таких предупреждения за 2026 год, а ливанский документалист Радван Мортада ранее становился целью шпионской программы Pegasus. Apple не раскрывает технические детали атак и не называет предполагаемых заказчиков. Компания объясняет это тем, что такая информация помогла бы разработчикам шпионского ПО обходить защиту, и рекомендует получателям включить Lockdown Mode. #шпионскоепо #apple #журналисты #lockdownmode @ZerodayAlert

Разбор веб-тасок с AI: от SQLi до SSTI 🚩 Название уязвимости ещё не флаг. Нужно найти точку ввода, понять, как приложение обрабатывает данные, и подтвердить гипотезу ответом сервера. Сегодня в 19:00 МСК специалист по анализу защищённости Никита Коломиец на открытом воркшопе решит четыре учебные веб-таски и покажет весь путь от условия до флага.  На отдельных этапах подключит AI, и ты увидишь, что предложила модель и как это проверяли. На встрече разберём: 🔻 SQL-инъекцию в INSERT-запросе (InsertIssue); 🔻 XSS (Contact); 🔻 SSTI во Flask/Jinja (Temple); 🔻 NoSQL-инъекцию в MongoDB (Mango); 🔻 как давать AI контекст и проверять его ответы. Если хочешь посмотреть, как с задачами пентеста работает действующий специалист, и перенять его приёмы, приходи сегодня вечером. 👉 Зарегистрироваться 👉 Подробнее о воркшопе

Хакеры начали эксплуатировать критическую уязвимость в Node-RED VulnCheck зафиксировала 16 попыток эксплуатации уязвимости CVE-2026-58115 с 30 октября по 1 ноября. Проблема получила максимальную оценку 10 баллов по CVSS и затрагивает Node-RED, который используют в том числе в промышленной автоматизации. Злоумышленники отправляют HTTP-запрос к административному интерфейсу, создают вредоносный сценарий и запускают системные команды без авторизации. В обнаруженных атаках код загружал исполняемый файл Linux непосредственно в оперативную память. Риск особенно высок для промышленных устройств с доступным извне интерфейсом Node-RED. Siemens выпустила исправление для затронутых систем ещё в августе. Администраторам стоит проверить версии ПО, ограничить доступ к API и убедиться в отсутствии посторонних сценариев. #NodeRED #Siemens #Linux #RCE @ZerodayAlert

В Langflow обнаружили две критические уязвимости с оценкой 9,8 балла IBM раскрыла две ошибки безопасности, позволяющие атаковать серверы Langflow без авторизации. Проблемы затрагивают версии с 1.0.0 по 1.12.8 включительно. Исправления вошли в выпуск 1.13.0. Первая уязвимость позволяет обойти проверку доступа через MCP, вторая открывает путь к удалённому выполнению кода. Для эксплуатации не требуются учётные данные. Для одной из ошибок уже появился модуль Metasploit, однако реальные атаки пока не подтверждены. Чтобы закрыть уязвимости, необходимо перейти на Langflow 1.13.0. Перед обновлением желательно сохранить базу данных и секретный ключ. Также потребуется учесть изменения в настройках автоматического входа. #Langflow #IBM #MCP #RCE @ZerodayAlert

Уязвимость в Commerce Core позволяла менять цену и обходить оплату Уязвимость CVE-2026-118539 находится в модуле Commerce Core, который отвечает за корзину, оформление покупок и работу торговых функций через API. Из-за недостаточной проверки прав доступа посторонний может взаимодействовать с маршрутами и полями заказов без необходимых разрешений. Проблема затрагивает версии Commerce Core ниже 8.x-2.41 и выпуски 3.x до 3.3.13, а исправления вышли 28 октября. Опасность касается и обычных магазинов, и проектов с отдельной клиентской частью, которая обращается к магазину через API. Centarro получила два сообщения о мошеннических заказах, среди которых встречались покупки по цене 1 цент, но признаков массовой кампании не выявлено. Поэтому владельцам магазинов советуют не только обновить модуль, но и сопоставить оплаченные заказы с реальными платёжными операциями. #drupal #уязвимость #commerce #покупки @ZerodayAlert

Функция «Поделиться» в ChatGPT стала лазейкой для XSS Атака начиналась с обычной общей ссылки на chatgpt.com, которую создавал злоумышленник через штатную функцию доступа. Вместе с открытой беседой загружался код, способный выйти за пределы изолированной области просмотра. Цепочка опиралась на HTML Preview и библиотеку MathLive, которая принимала команды через postMessage без надёжной проверки отправителя. Это позволяло подменить разметку, создать фрейм без атрибута sandbox и обойти политику CSP через разрешённый сервис YouTube. Уязвимость отправили в программу вознаграждений OpenAI 18 октября 2026 года, а к 26 октября исправление было внедрено на стороне сервиса. Исследователям выплатили 5000 долларов, а сведений о реальных жертвах нет. #chatgpt #уязвимость #xss #openai @ZerodayAlert

WARP PANDA использовала уязвимость нулевого дня в гипервизоре VMware Китайская группировка WARP PANDA использовала уязвимость нулевого дня CVE-2026-41709 в VMware ESX минимум до начала 2026 года. Ошибка затрагивала механизм регистрации команд, поэтому атакующие с правами администратора могли выполнять операции без записей в системных журналах. Broadcom оценила уязвимость всего в 2,7 балла по шкале CVSS, так как для эксплуатации нужны уже имеющиеся административные привилегии. Однако для кибершпионов возможность скрывать активность оказалась ценной, ведь она затрудняла обнаружение взлома и последующее расследование. Broadcom выпустила исправления 29 июля 2026 года, но временного обходного решения не предложила. Спустя время, 28 октября, CISA добавило уязвимость в каталог KEV, и госучреждения США обязаны установить обновления до 11 ноября 2026 года. #vmware #уязвимость #кибершпионаж #crowdstrike @ZerodayAlert

Canonical закрыла критическую уязвимость в LXD и MicroCloud с оценкой 10 из 10 В платформах для управления контейнерами и виртуальными машинами обнаружили CVE-2026-112816. Ошибка позволяет выдавать себя за доверенного клиента без закрытого ключа и получать доступ к облачной инфраструктуре. Причина в неправильной проверке цепочки TLS-сертификатов. Сервер может принять публичный сертификат доверенного клиента, добавленный в чужую цепочку. В зависимости от привилегий подменённой учётной записи атакующий способен получить полный контроль над хостом. Canonical уже выпустила исправления для затронутых версий. Для снижения риска необходимо проверить версии LXD и MicroCloud, установить обновления и ограничить доступ к HTTPS API. Подтверждённых случаев эксплуатации пока нет. #LXD #MicroCloud #Canonical #TLS @ZerodayAlert