Vesti sa oznakom CVE (50)
Zakrpe za dve ranjivosti izvršavanja koda dostupne su od 14. oktobra. Iskorišćavanje zavisi od dodatnih modula ili prilagođenog koda.
CVE-2026-44977 omogućava korisniku sa pravima nad aplikacijom da postavi aktivni sadržaj koji se izvršava kada globalni administrator otvori pregled. Ispravke su dostupne.
Remedio je opisao CVE-2026-81983, propust pri obradi slike u PDF-u koji može omogućiti izvršavanje koda. Adobe je ispravku objavio 8. septembra 2026, a napad zahteva otvaranje zlonamernog dokumenta.
Cisco Talos i Recorded Future opisali su kampanje u Centralnoj Aziji i CIS regionu. Jedan lanac napada koristi CVE-2025-8088, ispravljen u WinRAR-u 7.13, za postavljanje PickleShell malvera.
CVE-2026-57155 zahteva nalog sa dozvolom Firewall: Alias: Edit i pristup upravljačkom interfejsu. Proizvođač navodi ispravke u verzijama 26.1.11 i 26.4.1p1.
CVE-2026-93483 omogućava lažno predstavljanje postojećeg korisnika u određenim HTTPBasicAuth konfiguracijama. Ispravke su dostupne u Znuny LTS 6.5.25 i 7.3.7.
CVE-2026-110911 pogađa Wheels od 1.1.8 do 4.1.1 kada aplikacija prosleđuje nepouzdane podatke određenim API-jima za upite. Ispravka je dostupna u verziji 4.1.2.
Oktobarske ispravke obuhvataju tri propusta u Active Directory Federation Services. Njihove CVSS 3.1 ocene su 5,9, 9,1 i 7,5; Microsoft pri objavi nije prijavio eksploataciju.
Palo Alto Networks potvrdio je veoma ograničenu eksploataciju CVE-2026-0322. Propust ima ocenu High, CVSS 4.0 8,6, i zahteva prethodno autentifikovan pristup sa visokim privilegijama.
CVE-2026-97657 u dodatku Abandoned Cart Pro za WooCommerce omogućava zaobilaženje prijave i preuzimanje naloga povezanih sa napuštenim korpama. Pogođene su verzije do 10.8.0, a ispravka je dostupna u verziji 10.8.1.
CVE-2026-85097 omogućava neautentifikovano postavljanje i izvršavanje PHP koda. Wordfence navodi CVSS 3.1 ocenu 9.8, a Patchstack potvrđuje aktivne pokušaje eksploatacije. Dostupna su bezbednosna ažuriranja.
CVE-2026-66086 pogađa modemski softver na UNISOC čipsetima T8100, T9100 i UDX710. Proizvođač opisuje mogućnost udaljenog izvršavanja koda ili uskraćivanja usluge; konkretne zakrpljene verzije nisu navedene u javnom biltenu.
CVE-2026-47483 ima CVSS 3.1 ocenu 8.2 (High). NVIDIA navodi ispravku u DCGM Exporteru 4.8.2, dok istraživanje LAVA pokazuje rizik javno dostupnih metrika i interfejsa za profilisanje.
CVE-2026-105892 pogađa rtMedia do verzije 4.7.13 uključujući. Patchstack navodi CVSS 9.8 i ispravku u verziji 4.7.14.
CVE-2026-108598 omogućava izvršavanje komandi bez autentifikacije ako napadač može da pristupi Floci servisu. Pogođene su verzije od 1.1.0 do izdanja pre 2.2.0.
CVE-2026-108707 omogućava pristup HRM API-ju bez autentifikacije u pogođenom Wukong_HRM kodu. Potvrđena ispravljena verzija nije navedena u proverenom savetu.
INCIBE-CERT je objavio CVE-2026-12260 u NetBoard CRM demo platformi, sa CVSS 4.0 ocenom 10. Na dan objave, 8. oktobra, rešenje nije prijavljeno, a aktivna eksploatacija nije navedena.
CVE-2026-105223 pogađa maclof/kubernetes-client od 0.17.0 do verzija pre 0.32.0. Bez CA podataka TLS provera može biti isključena; zakrpa je dostupna.
CVE-2026-105293 pogađa Legcord 1.1.0–1.3.0. Napad zahteva izvršavanje skripte u Discord stranici; potvrđena zakrpa nije pronađena u proverenim izvorima.
CVE-2026-105134 omogućava udaljeno izvršavanje komandi u AhsayCBS. CVE zapis navodi ispravku u verziji 10.3.4; aktivna eksploatacija nije potvrđena u proverenim izvorima.
Fortinet potvrđuje napade preko kritične ranjivosti FortiMail-a. Ispravke su u obaveštenju označene kao predstojeće; preporučene su privremene mere i provera mogućeg upada.
Izdanje od 1. oktobra donosi pet ispravki sa Apache ocenom moderate i 15 sa ocenom low. Uticaj zavisi od modula i konfiguracije.
CVE-2026-14984 pogađa Aware2 do verzije 6.9.0.2 uključujući i nju. Napadač na istom lokalnom mrežnom segmentu može presresti podatke sesije i ometati upravljanje robotom.
TeamViewer je ispravio pet ranjivosti u Full Client i Host komponentama. Uslovi napada razlikuju se po grešci i platformi; dostupne su verzija 15.82 i ispravke za određene starije grane.
CVE-2026-84411 omogućava napad bez autentifikacije na dostupni servis za veb upravljanje. CISA navodi RouterOS pre verzije 7.24 kao pogođen.
CVE-2026-13313 omogućava autentifikovanom napadaču sa visokim privilegijama da uključi Telnet i izvršava komande kao root. ASUS je potvrdio bezbednosno ažuriranje; CVSS 4.0 ocena je 8,9, odnosno High.
ESnet je objavio iperf3 3.22 sa bezbednosnim ispravkama. Za grešku pri obradi RSA tokena važna je konfiguracija autentifikacije; zvanični izvori nisu usaglašeni oko povezivanja dve greške sa CVE oznakama.
CVE-2026-102240 pogađa Netcore NAP930 sa firmverom 0.1.241010.141410 i može omogućiti mrežno izvršavanje komandi bez autentifikacije. Javni PoC je dostupan; aktivna eksploatacija i konkretna zakrpa nisu potvrđene u pregledanim izvorima.
CVE-2026-102422 pogađa shell-quote od verzije 1.8.4 do verzija pre 1.11.0. U određenom načinu korišćenja funkcije quote(), nepouzdan unos posle tokena komentara može omogućiti ubacivanje komandi. Ispravka je 1.11.0.
Objavljen je javni PoC za RaspAP ranjivost CVE-2026-101860 koja korisniku sa ograničenim privilegijama može omogućiti povećanje prava kroz nepravilno upravljanje sudo konfiguracijom.
Citrix je potvrdio eksploataciju CVE-2026-88771 i CVE-2026-88772, ocenjenih sa 9,5 po CVSS 4.0. Dostupne su zakrpe, uz preporuku da se pre ažuriranja sačuvaju dokazi i proveri moguće kompromitovanje.
Check Point je potvrdio napade na VPN uređaje i upravljačke servere. Zakrpe za dve ranjivosti nisu iste; LivePatch Take 28/29 ne otklanja CVE-2026-93616.
Lanac ranjivosti MikroTrick omogućava napadačima da preko izloženog SSH servisa preuzmu potpunu kontrolu nad ranjivim MikroTik RouterOS uređajima bez lozinke ili SSH ključa. Aktivna eksploatacija je potvrđena, a zakrpe su dostupne.
BragJack pokazuje kako zlonamerna ekstenzija za browser može da zloupotrebi privilegije AI asistenta i pristupi osetljivim podacima ili izvršava radnje u ime korisnika.
CVE-2026-93742 pogađa firmver Hh-B20211125.1046. Potrebne su niske privilegije; javni PoC ne potvrđuje aktivne napade. Ispravljena verzija nije navedena u proverenim izvorima.
Javno dostupan PoC demonstrira SQL injection ranjivost CVE-2026-23980 u Apache Superset verzijama starijim od 6.0.0. Napad zahteva autentifikovanog korisnika sa pravom čitanja, a preporuka je ažuriranje na verziju 6.0.0 ili noviju.
Napadači aktivno iskorišćavaju kritičnu ranjivost u WooCommerce Wholesale Lead Capture pluginu koja omogućava neautentifikovano učitavanje PHP fajlova i potencijalno potpuno preuzimanje WordPress sajta.
Cisco upozorava da se kritična ranjivost CVE-2026-76461 u Secure Email Gateway uređajima aktivno eksploatiše i omogućava udaljenim napadačima da bez autentifikacije izvršavaju komande sa root privilegijama.
CISA upozorava da se kritična GitLab ranjivost CVE-2026-85706 aktivno eksploatiše. Napadači bez autentifikacije mogu čitati proizvoljne fajlove sa ranjivog GitLab servera, uključujući potencijalno kredencijale i druge osetljive podatke.
Hakerska grupa ShinyHunters iskoristila je zero-day ranjivost u Oracle PeopleSoft sistemima za krađu podataka i iznudu. Kampanja pokazuje koliko su internet-dostupni poslovni sistemi rizični kada kritične ranjivosti mogu biti iskorišćene pre objavljivanja zakrpe.
CVE-2026-88069 u Pandora alatu do 1.12.7 omogućava upis van direktorijuma za raspakivanje. CIRCL navodi CVSS 4.0 ocenu 9.3; ispravka je dostupna u kodu projekta.
CVE-2026-90558 u sngrep-u može izazvati pad ili izvršavanje koda pri obradi predugih SIP zaglavlja. Ispravka postoji; dostupnost paketa zavisi od distributera.
Proofpoint je zabeležio četiri špijunske grupe koje koriste BlueMoon. Lanac povezuje dve Chrome ranjivosti i Windows propust; dostupne ispravke treba primeniti bez odlaganja.
Fortinet ranjivost CVE-2025-25249 se aktivno eksploatiše za instalaciju PivotC2 RAT malvera. Hitna primena zakrpe obavezna.
cPanel je objavio kritičnu SQL injection ranjivost koja dozvoljava autentifikovanim korisnicima root pristup serveru i potpunu kontrolu.
MikroTik RouterOS ima kritične ranljivosti koje se aktivno eksploatišu - odmah ažurirajte na verzije 6.49.21, 7.23.4, 7.24.2 ili 7.25beta3.
Kritična ranjivost u Tenda CP3 ruteru verzije 27.5.57.101 omogućava daljinsku injection i izvršavanje proizvoljnih komandi.
Ranjivost u wger aplikaciji omogućava denial of service kroz nevalidiranu sekvencu datuma. Ažurirajte na verziju 2.5.
Trezor je objavio da je incident kod logističkog partnera ShipMonk izložio podatke dodatnih 67.000 američkih kupaca, uključujući imena, email adrese, telefone, adrese za isporuku i brojeve porudžbina.
Dva aktivno eksploatisana zero-day-a u SonicWall SMA 1000 omogućavaju napadačima neautentifikovani pristup aparatima.