Новости: уязвимость

Слабость в конфигурации учетных данных OAuth в платформе автоматизации n8n открыла уязвимость Stored XSS, как обнаружили исследователи Imperva. Настройка OAuth позволяет n8n подключаться к Google Workspace, Microsoft 365, Slack или GitHub без раскрытия паролей. — csoonline.com

Уязвимость в SDK Discord позволила Arc Raiders непреднамеренно записывать личные сообщения и учетные данные пользователей в игровые лог-файлы. Embark Studios с тех пор устранила проблему горячим исправлением. — tomshardware.com

Хакеры используют критическую уязвимость в плагине User Registration & Membership для WordPress, установленном на более чем 60 000 сайтов. Уязвимость CVE-2026-1492 позволяет создавать учетные записи администратора без аутентификации. — bleepingcomputer.com

Уязвимость максимальной степени критичности в платформе FreeScout позволяет хакерам добиться удаленного выполнения кода без взаимодействия с пользователем или аутентификации. Уязвимость CVE-2026-28289 обходит предыдущее исправление, используя пробел нулевой ширины для загрузки вредоносных файлов. — bleepingcomputer.com

Эксперты по безопасности обнаружили, что ИИ Doctronic для здравоохранения можно легко обмануть, чтобы он раскрыл системные промпты, распространял ложную медицинскую информацию, увеличивал дозы лекарств и многое другое! — theregister.com

CISA добавила уязвимость VMware Aria Operations (CVE-2026-22719) в каталог эксплуатируемых уязвимостей, поскольку она используется в атаках. Broadcom осведомлена об отчетах, но не подтверждает их. Уязвимость позволяет неаутентифицированному злоумышленнику выполнять команды. — bleepingcomputer.com

Агент ИИ-браузер Comet от Perplexity оставлял локальные файлы открытыми для кражи через события календаря и расширение 1Password. — theregister.com

Критическая уязвимость позволила вредоносным дополнениям получить доступ к системе через встроенную AI-функцию браузера. — theregister.com

Исследователи безопасности обнаружили критическую уязвимость “ClawJacked” в популярном ИИ-агенте OpenClaw. Она позволяла вредоносному сайту незаметно подобрать пароль к локальному экземпляру через WebSocket на localhost и захватить контроль, получая доступ к файлам и командам. — bleepingcomputer.com

Уязвимость в предлагаемом обновлении XRP Ledger (XRPL) могла позволить проводить несанкционированные транзакции, но исследователи обнаружили проблему до того, как она попала в основную сеть. Фонд XRPL сообщил 26 февраля, что уязвимость найдена в изменении «Batch» […]. XRP Ledger едва не выпустил функцию, которая могла бы опустошить счета без подписи владельцев. — cryptoslate.com