Новости: rce

Критические уязвимости позволяют аутентифицированным пользователям осуществить побег из «песочницы» в платформе автоматизации n8n, что ведет к удаленному выполнению кода. Исследователи JFrog обнаружили две уязвимости, затрагивающие движок выражений JavaScript и узел Python Code, что несет риск полной компрометации хоста.

Компания SolarWinds снова обнаружила критические уязвимости (включая RCE) в своем ПО Web Help Desk (WHD), выпустив срочные обновления до версии 2026.1. Эксперты призывают немедленно патчить системы из-за высокого риска эксплуатации и каскадных последствий для бизнеса.

Хакеры, стоящие за кампанией Contagious Interview, начали использовать Visual Studio Code (VS Code) для закрепления в системах жертв. Злоумышленники внедряют вредоносную логику в конфигурационные файлы проектов, которая срабатывает после того, как пользователь открывает репозиторий и доверяет ему, запуская JavaScript-полезные нагрузки через доверенные рабочие процессы разработчиков.

Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok, используемых в моделях машинного обучения на Hugging Face. Исследователи Unit 42 установили, что злоумышленники могут внедрять вредоносный код через метаданные, который активируется при загрузке файла, что ведет к удаленному выполнению кода (RCE). Разработчики уже выпустили исправления.

Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok от Nvidia, Salesforce и Apple, используемых на Hugging Face. Они позволяют удаленно выполнять код через метаданные моделей.

CISA внесла критическую уязвимость RCE (CVE-2025-37164) в платформе управления HPE OneView в каталог KEV из-за активной эксплуатации. Уязвимость позволяет неаутентифицированному удаленному выполнению кода через REST API, что ставит под угрозу всю ИТ-инфраструктуру. Эксперты призывают к немедленному, но осторожному развертыванию исправлений.

Исследователи Cyera выявили критическую уязвимость (CVE-2026-21858, CVSS 10.0) в платформе автоматизации n8n, позволяющую удалённо выполнять произвольный код. Уязвимость затрагивает 100 000 серверов и может привести к полному контролю над средой, давая доступ к конфиденциальным данным и API-ключам. Разработчики выпустили патч.

Veeam выпустила срочное исправление для четырех критических уязвимостей в Backup & Replication, которые могли позволить пользователям с определенными ролями (администратор, оператор) выполнить удаленное выполнение кода (RCE) и нанести ущерб базе данных.

Критическая уязвимость с рейтингом 10.0 была обнаружена в платформе автоматизации n8n, используемой для LLM-агентов. Уязвимость CVE-2026-21858 позволяет неаутентифицированным хакерам считывать локальные файлы и, в конечном счете, захватывать админдоступ к системе, получая ключи API и корпоративные данные.

Исследователи Cato Networks выявили критическую уязвимость CVE-2025-64496 в Open WebUI, самостоятельном интерфейсе для LLM. Небезопасная обработка Server-Sent Events (SSE) через функцию «Прямые соединения» позволяет злоумышленникам внедрять JavaScript, красть JWT-токены и захватывать сессии. При наличии прав возможна эскалация до RCE.