Новости по теме «CVE»

2026-08-12

Среднее время жизни уязвимости — 29 месяцев: разбор практик раскрытия CVE

По данным IBM X-Force 2025, от публикации CVE до реального устранения в организациях проходит в среднем 29 месяцев — два с половиной года открытого окна для атакующих. Mandiant M-Trends добавляет: 38% инцидентов начинаются с эксплуатации уязвимостей, это обогнало даже фишинг. Перед исследователем всегда стоит дилемма: публиковать баг сразу — значит вооружить злоумышленников, молчать — позволить…

Читать полностью →

ИБ CVE пентест

2026-08-07

Критические уязвимости baserCMS: RCE через POST-параметр в exec()

В baserCMS 5.2.3 найдена связка из двух уязвимостей — CVE-2026-21861 и CVE-2026-30877, обе с оценкой CVSS 9.1 (CRITICAL). Значение POST-параметра без фильтрации попадает в exec(). Представьте: админ нажимает «Обновить ядро», а браузер отправляет запрос, где путь к PHP-бинарнику подставляется прямо в shell-команду. Ни escapeshellarg(), ни allowlist, ни regex. Спецсимволы ;, |, && и $() проходят…

Читать полностью →

ИБ CVE веб-безопасность

2026-08-04

Критическая уязвимость в OpenBao (форк Vault): CVE-2026-33757

Критическая уязвимость в OpenBao (форк HashiCorp Vault): CVE-2026-33757, CVSS 9.6. Суть: при включённом callback_mode=direct в OIDC-аутентификации атакующий может подсунуть жертве ссылку на вход, перехватить её сессию и забрать vault token. Классическая session fixation (CWE-384) — система не инвалидирует старую сессию при входе нового пользователя. Почему это опасно: с vault token'ом…

Читать полностью →

ИБ vault openbao CVE

Среднее время жизни уязвимости — 29 месяцев: разбор практик раскрытия CVE

Критические уязвимости baserCMS: RCE через POST-параметр в exec()

Критическая уязвимость в OpenBao (форк Vault): CVE-2026-33757

Другие темы