Praktyka, analizy i komentarze z pola.

Najnowszy Analiza

BMC Helix Network Management CVE-2026-111283: włączasz SAML SSO, a lokalny administrator zaczyna przyjmować dowolne hasło

CVE-2026-111283, CVSS 4.0 9.5. Sesja SuperAdmin w narzędziu, które trzyma poświadczenia do całej sieci. Fix w 26.3.01 (24.08.2026), publiczny PoC od 16.10, brak w CISA KEV. 20 października 2026 · ~8 min czytania Czytaj wpis → Case study

Unblu Spark CVE-2026-9589: jedno CVE, dwa CVSS i dwa modele odpowiedzialności. W chmurze VEX i pytania do dostawcy, on-prem ticket bez obejścia

UBL-2026-002: brak autoryzacji w configuration cascade, w Unblu Cloud cross-tenant. On-prem 8.9 High, cloud 9.3 Critical. Chmura załatana przez vendora, on-prem bez obejścia: fix od 8.37.2. 20 października 2026 · ~9 min czytania Czytaj wpis → Analiza

Google Cloud Shell CVE-2026-85267: Google naprawił w lipcu, CVE wyszło w październiku. Brak ticketu do patcha nie zamyka okna ekspozycji

CSWSH i kradzież tokenu OAuth z aktywnej sesji Cloud Shell. CVSS 4.0 8.7, fix 22.07.2026, CVE 20.10.2026, „no customer action is needed”. Jak to zarejestrować w VM i kiedy robić przegląd logów. 20 października 2026 · ~8 min czytania Czytaj wpis → Analiza

MLflow CVE-2026-53995: path traversal przez trace ID. To, czy jesteś podatny, zależy od backendu, a wersji z poprawką jeszcze nie ma

Path traversal przez trace ID w FileStore, MLflow do 3.17.1, bez uwierzytelnienia. Publiczny PoC, PR z poprawką otwarty, wydanej wersji z fixem brak. Brak w CISA KEV. 20 października 2026 · ~9 min czytania Czytaj wpis → Analiza

Cloudflare Pingora CVE-2026-105299, 105297, 105298: Cloudflare nie jest podatny. Podatna jest Twoja binarka zbudowana na crate

CVE-2026-105299, 105297 i 105298 w crate'ach pingora-*. Naprawione w 0.8.1 i 0.9.0. Brak CPE, brak RustSec, GHSA „unreviewed”. Szukaj w Cargo.lock i SBOM binarek, łataj przez rebuild. 20 października 2026 · ~10 min czytania Czytaj wpis → Analiza

DB-GPT, Langchain-Chatchat, Letta, piflow: 15 CVE dla agentów AI z narzędziem shell. Problemem jest domyślny docker-compose, nie pojedynczy bug

DB-GPT, Langchain-Chatchat, piflow, Letta: brak auth, narzędzie shell zarejestrowane domyślnie, porty na wszystkich interfejsach. Większość bez wersji naprawionej. Najpierw inwentarz, potem kompensacja. 20 października 2026 · ~11 min czytania Czytaj wpis → Analiza

Pillow 13.0.0: 42 advisory, 27 CVE w NVD i zero backportów do 12.x. Które realnie mają znaczenie i co zrobić, zanim podniesiesz majora

27 CVE w NVD, 19 z CVSS 7.0+, a pip-audit dla 12.3.0 milczy. Realne ryzyko zależy od trzech rzeczy: Ghostscript w kontenerze, zainstalowany olefile i miniatury z JPEG. Poprawka tylko w 13.0.0, które wymaga Pythona 3.11. 20 października 2026 · ~10 min czytania Czytaj wpis → Case study

Stormshield SNS CVE-2026-111090 i 113469: vendor sam przelicza 7.8 na 6.0 „medium”. Environmental score vendora to hipoteza o Twoim środowisku

CVE-2026-111090 i CVE-2026-113469: błąd weryfikacji podpisu plików aktualizacji, licencji i danych Active Update. Fix w 5.1.4 EA, 5.0.10 i 4.8.20 LTSB. Gałąź 4.3 QS bez poprawki. 20 października 2026 · ~9 min czytania Czytaj wpis → Analiza

Ghostscript w RHEL 8, CVE-2026-112177: skaner pokazuje CVE-2019-14869 jako naprawione, a paczka znów omija -dSAFER

CVE-2026-112177 (7.3): w RHEL 8 przy rebase 9.25→9.27 wypadła poprawka CVE-2019-14869. Paczka z 15.10.2026 ma trzy .forceput w .charkeys. Errata brak. policy.xml, blokada PS/EPS, izolacja konwersji. 20 października 2026 · ~10 min czytania Czytaj wpis → Case study

Advantech ADAM-3600 EdgeLink: 30 CVE w jednym firmware, siedem Critical i zero CPE w NVD. Jak obsłużyć falę podatności OT, której skaner sam nie przypisze

CVE-2026-43829..43858 w Advantech ADAM-3600 EdgeLink, poprawka w 2.8.5.0. Rekordy NVD bez konfiguracji CPE, część RCE zależy od SafeEnhancement, a firmware przed poprawką sprawdzano md5sum. Jedna remediacja, ręczne mapowanie i segmentacja. 20 października 2026 · ~10 min czytania Czytaj wpis → Case study

PAN-OS GlobalProtect CVE-2026-0257: KEV z maja wraca z ransomware Qilin i Inc. „Załatane” nie znaczy „czyste”, jeśli VPN był otwarty przed patchem

Obejście uwierzytelniania GlobalProtect w KEV od maja. Unit 42 dopisuje Qilin i Inc, pivot do vCenter/ESXi i Veeam CVE-2023-27532. Patch nie unieważnia dostępu zdobytego wcześniej. Hunting według IoC Unit 42. 20 października 2026 · ~9 min czytania Czytaj wpis → Case study

nginx CVE-2026-15176, 93479, 97205: 9.2 od F5, „medium” od nginx.org. O ekspozycji decyduje nginx.conf, nie numer wersji

CVE-2026-15176, 93479, 97205 mają 9.2, ale każde wymaga konkretnych dyrektyw: alias+rewrite z $request_filename, map z regexem, aio z SSI. Najpierw nginx -T i grep, potem 1.31.7 / 1.30.6. 20 października 2026 · ~9 min czytania Czytaj wpis → Case study

Roundcube 1.6.20 i 1.7.5: dwadzieścia poprawek bezpieczeństwa, a w NVD jedno CVE. Najgroźniejsza z nich numeru jeszcze nie ma

Skaner oparty na CVE pokaże jedno High 7.1 z PR:L. Wydanie zawiera 20 poprawek, w tym object injection w sesji bez CVE. Roundcube ma 11 wpisów w KEV. Sprawdź wersję i pakiet dystrybucji. 20 października 2026 · ~8 min czytania Czytaj wpis → Case study

AOMEI Backupper i AnyViewer: kanał aktualizacji był złośliwy przez 5–10 minut, potem znowu czysty. Bez CVE i bez wersji do łatania skaner nie ma czego szukać

Pliki konfiguracji aktualizacji AOMEI były złośliwe przez 5–10 minut, potem wracały do czystych. Brak CVE i poprawionej wersji. Skaner podatności nic nie zobaczy, zostają IoC, logi proxy i inwentaryzacja. 20 października 2026 · ~9 min czytania Czytaj wpis → Analiza

Broadcom WPS („WPSplinter”): RCE przez Wi-Fi w routerach ISP, a CVE nie będzie. Jak śledzić podatność, której nie widzi skaner, SBOM ani KEV

RCE przez Wi-Fi bez hasła w starym WPS Monitor Broadcom, od 2010 w SDK, w routerach wielu OEM i ISP. Broadcom odmówił CVE. Wyłączenie WPS w panelu według badacza może nie pomóc. 20 października 2026 · ~9 min czytania Czytaj wpis → Case study

bootc CVE-2026-16487: immutable OS jest tak zaufany, jak jego polityka podpisów. Domyślne „przyjmij wszystko” zamienia mutowalny tag w drogę do roota

Domyślna polityka podpisów przepuszcza niepodpisany obraz z mutowalnego tagu, a host bootuje go jako rootfs. CVSS 8.1, brak poprawki. Przypnij digest, utwardź policy.json, wyłącz timer. 20 października 2026 · ~8 min czytania Czytaj wpis → Case study

GitLab CVE-2026-97229: CVSS 10.0, publiczny exploit i self-managed bez patcha. Rozbieżność „PR:N” kontra push do publicznego projektu nie jest powodem, żeby czekać

CVSS 10.0, poprawka z 12.10, działający PoC Rapid7 z 16.10. Ścieżka Rapid7 wymaga pusha do publicznego projektu, GitLab ocenia PR:N. Nie czekaj na wyjaśnienie rozbieżności. 20 października 2026 · ~9 min czytania Czytaj wpis → Case study

NetScaler CVE-2026-88779 + CVE-2026-88771: błąd „tylko DoS” posłużył za wyzwalacz roota, a implant przeżywa na drugim węźle HA

NetScaler CVE-2026-88779 + 88771 według Rapid7: crash SAML, restart, crash handler uruchamia payload jako root. Para HA to jeden blast radius. 20 października 2026 · ~8 min czytania Czytaj wpis → Case study

SiteGuard Server Edition CVE-2026-106931: WAF na serwerze WWW wykonuje komendy jako root. CVSS mówi „local”, vendor mówi „eksploatowane”, KEV milczy

SiteGuard Server Edition CVE-2026-106931: CVSS 7.8 „local”, eksploatacja potwierdzona, poza KEV. Agent bezpieczeństwa to też powierzchnia ataku. 20 października 2026 · ~8 min czytania Czytaj wpis → Analiza

Craft CMS CVE-2026-112770…112777: „Moderate” i „Low” u vendora, 8.7–9.3 od VulnCheck. Czyje CVSS jest Twoje?

8 CVE od VulnCheck do advisory Craft CMS sprzed dwóch tygodni, poprawki sprzed siedmiu. Skanery właśnie zaczynają je widzieć jako Critical. Czytaj wektor, nie liczbę. 20 października 2026 · ~9 min czytania Czytaj wpis → Case study

Plex2Shell: cztery CVE z CVSS 4.3–7.2 dają nieuwierzytelnione RCE. Polityka „najpierw Critical” tego nie zauważy

Plex2Shell: 4.3 + 6.5 + 4.3 + 7.2 = nieuwierzytelnione RCE. Atak dzień po writeupie, poprawka od września. Polityka „najpierw Critical” tego nie złapie. 19 października 2026 · ~8 min czytania Czytaj wpis → Case study

Nextcloud + Collabora Built-in CODE CVE-2026-110447: poprawka miesiąc przed CVE, webshelle zostają po patchu

CVE-2026-110447 w richdocumentscode: atakowane od 10 września, poprawione 11 września, CVE 14 października, poza KEV. Aktualizacja to tylko połowa pracy. 19 października 2026 · ~9 min czytania Czytaj wpis → Case study

Rank Math PRO CVE-2026-111862: CVE opisuje okno pobrania, nie wersję

Skaner wersji oznaczy czyste instalacje 3.0.123 i przepuści skompromitowane strony już na 3.0.124. Aktywowana zła kopia to incydent, nie update. 19 października 2026 · ~8 min czytania Czytaj wpis → Case study

Nutanix Prism CVE-2026-84731: jeden nagłówek HTTP daje admina klastra i root na wszystkich CVM

CVE-2026-84731: obejście uwierzytelnienia w Prism, root na wszystkich CVM. W HCI płaszczyzna zarządzania to cały klaster: storage, VM i ich dyski. 19 października 2026 · ~8 min czytania Czytaj wpis → Case study

Chrome 155 CVE-2026-110916: „Medium” u Google, 9.6 u CISA-ADP

CVE-2026-110916: kod poza sandboxem, Chromium Medium, ADP 9.6. A Critical z tego samego wydania dostał 8.8. Etykieta i wynik mierzą co innego. 19 października 2026 · ~8 min czytania Czytaj wpis → Case study

MariaDB CVE-2026-85748: CVSS 9.9, ale atakujący potrzebuje konta SQL

Trzy 9.9 w MariaDB Server, RCE tylko w łańcuchu, poprawki od sierpnia. Priorytet ustawia to, kto może się zalogować do bazy. 19 października 2026 · ~8 min czytania Czytaj wpis → Case study

Amazon Neptune CVE-2026-110812: CVSS 9.9 w usłudze zarządzanej

Neptune CVE-2026-110812, CVSS 9.9. AWS wydał poprawki w 1.4.7.1, 1.4.8.1 i 1.5.0.0, ale to Ty wybierasz wersję silnika i okno serwisowe. 19 października 2026 · ~9 min czytania Czytaj wpis → Case study

BeyondTrust Remote Support CVE-2026-102764: siedem tygodni zero-daya w sejfie poświadczeń

CVE-2026-102764 w KEV, termin 19.10. ARMORY CASTLE miał dostęp od końca sierpnia, zrzucał sejf i kasował logi. Patch zamyka wejście, nie zamyka incydentu. 18 października 2026 · ~7 min czytania Czytaj wpis → Case study

Fortinet CVE-2025-61624: „Medium, tylko dla admina” trafia do KEV, bo jest krokiem do roota w łańcuchu

Advisory z kwietnia, KEV w październiku. Path traversal w auto-script daje roota po przejęciu FortiManagera i otwiera drogę implantowi PEERSTITCH. 18 października 2026 · ~8 min czytania Czytaj wpis → Case study

Exchange CVE-2026-70571: RCE bez logowania wyzwalany e-mailem i XSS 9.3

CVE-2026-70571 i CVE-2026-70279 w październikowym SU. Brak KEV, ale serwer pocztowy przetwarza treść od każdego nadawcy z internetu. 18 października 2026 · ~8 min czytania Czytaj wpis → Case study

AD DS CVE-2026-70229: „tylko” CVSS 8.1, ale na kontrolerze domeny

Nieuwierzytelnione RCE w AD DS. Wynik bazowy obniża złożoność ataku, nie skutek. Na tier 0 to krytyczność zasobu ustawia SLA. 18 października 2026 · ~8 min czytania Czytaj wpis → Analiza

Cisco NX-OS CVE-2026-76471 i cztery inne RCE 9.8: o podatności decyduje włączona funkcja, nie wersja

CVE-2026-76471, 76485, 76486, 76501, 76465: root RCE bez uwierzytelnienia, ale tylko przy włączonym NX-API, NGOAM albo MPLS OAM. Jak odsiać fałszywe trafienia skanera. 18 października 2026 · ~7 min czytania Czytaj wpis → Case study

Cisco License On-Prem (dawniej SSM On-Prem): gdy poprawką jest migracja produktu, a nie patch

Cztery CVE do CVSS 10.0 w serwerze licencji Cisco. Linia 10 dostaje 10-202609, linia 9 (SSM On-Prem) tylko „Migrate to a fixed release”. Najpierw musisz ten serwer znaleźć. 18 października 2026 · ~6 min czytania Czytaj wpis → Case study

Ivanti Connect Secure CVE-2026-104935: patch zamyka wejście, ale nie zamyka sprawy

CVE-2026-104935 w KEV, termin dziś. Patch zamyka wejście, ale eskalacja do roota z tego samego łańcucha jest bez poprawki, a Integrity Checker nie widzi włamania. 16 października 2026 · ~7 min czytania Czytaj wpis → Case study

Windows Shell CVE-2026-96951: „Important” w MSRC, zero-day w KEV

Security feature bypass nie wykonuje kodu sam — usuwa ostrzeżenie, które miało zatrzymać phishing. Microsoft wykrył eksploatację. 16 października 2026 · ~7 min czytania Czytaj wpis → Case study

AhsayCBS CVE-2026-105133 i 105134: auth bypass + command injection na serwerze backupu

Dwa CVE w łańcuchu, KEV z terminem 17.10, a wersja „naprawiona” według NVD nie jest naprawiona według producenta. 16 października 2026 · ~7 min czytania Czytaj wpis → Case study

SAP Cloud SDK for Python CVE-2026-89111: CVSS 10.0 w zależności pip, której SAP-owy patch management nie widzi

Krytyczna podatność SAP, której nie zainstalujesz przez SNOTE. Żyje w requirements.txt Twoich aplikacji na BTP. 16 października 2026 · ~6 min czytania Czytaj wpis → Analiza

FreeRDP 3.32: security release przed pełną publikacją advisory

Ponad 100 GHSA w trzech wydaniach, identyfikatory CVE tygodnie po release. Kampania po release lineage zamiast czekania na skaner. 16 października 2026 · ~7 min czytania Czytaj wpis → Analiza

Pięć urządzeń brzegowych w KEV w dwa tygodnie: co to mówi o priorytetyzacji

SD-WAN, FortiMail, NetScaler, Cisco SEG i PAN-OS: trzy dni na każde, ekspozycja zależna od konfiguracji i patch, który nie kończy pracy. 16 października 2026 · ~9 min czytania Czytaj wpis → Case study

Cisco Secure Email Gateway CVE-2026-76519: jeden mail z załącznikiem = root

Drugi aktywnie wykorzystywany błąd bramki pocztowej Cisco w miesiąc. Warunek to File Reputation i wersja Content Scanner Tools. 15 października 2026 · ~6 min czytania Czytaj wpis → Case study

PAN-OS CVE-2026-0322: RCE jako root przez interfejs zarządzania

Wymaga poświadczeń, ale jest wykorzystywany. Ekspozycja interfejsu zarządzania i właściwy hotfix dla sub-brancha decydują o ryzyku. 15 października 2026 · ~6 min czytania Czytaj wpis → Case study

Citrix NetScaler CVE-2026-88779: KEV nie znaczy, że każda instancja jest podatna

KEV mówi, że ktoś już wykorzystuje błąd. Konfiguracja SAML mówi, czy Twój zasób spełnia warunek. Dobra analiza łączy oba fakty. 9 października 2026 · ~6 min czytania Czytaj wpis → Analiza

Exchange CVE-2026-96940: wrześniowy patch nie wystarczył

„Wdrożyliśmy wszystkie poprawki” i „nadal mamy CVE” mogą być prawdą jednocześnie. Proces musi śledzić konkretną wersję naprawczą. 9 października 2026 · ~6 min czytania Czytaj wpis → Case study

Atlassian CVE-2026-21589: osiem produktów, jeden problem z dostępem do plików

Największe ryzyko operacyjne: zamknięcie findingu po aktualizacji jednej instancji przy pominięciu pozostałych siedmiu produktów. 8 października 2026 · ~6 min czytania Czytaj wpis → Case study

Cisco Catalyst SD-WAN Manager CVE-2026-76504: kiedy patch przestaje być remediation, a zaczyna się incident response

Przy aktywnie wykorzystywanym bypassie do admina „patched” i „safe” to nie synonimy. Najpierw dane, potem aktualizacja, potem IoC. 6 października 2026 · ~5 min czytania Czytaj wpis → Case study

FortiMail CVE-2026-104286: KEV, pre-auth i arbitrary file write na bramce pocztowej

Bramka pocztowa na brzegu sieci, brak uwierzytelnienia i potwierdzona eksploatacja: KEV wymaga ścieżki awaryjnej i huntingu. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

ZITADEL: fala czterech podatności tożsamości

System IAM to punkt zaufania dla wielu aplikacji. Priorytet zależy od federacji i granic tenantów, nie od różnicy jednego punktu CVSS. 6 października 2026 · ~5 min czytania Czytaj wpis → Case study

Zammad CVE-2026-102489 i 102490: CVE to początek analizy, nie jej koniec

„CVE present” i „vendor says not affected” to za mało. Finding potrzebuje warunków exploitable, EOL i historii decyzji. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

Langflow CVE-2026-8505: kiedy webhook staje się ścieżką wykonania flow

Wykonanie workflow w AI infra może oznaczać bardzo szerokie uprawnienia. Ocena zależy od tego, co flow potrafi. 6 października 2026 · ~5 min czytania Czytaj wpis → Case study

LightLLM CVE-2026-103040 i 103041: RPyC + pickle w dwóch usługach pomocniczych = zdalne RCE

Usługa pomocnicza bez uwierzytelnienia plus niebezpieczna deserializacja dają RCE. Liczy się, czy funkcja działa i czy port jest osiągalny. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

LiteLLM CVE-2026-84377: CVSS 6.5, ale proxy wysyła klucze providerów pod adres atakującego

Medium nie oddaje blast radius: proxy LLM trzyma klucze do wszystkich providerów, a SSRF wysyła je pod obcy adres. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

vm2 CVE-2026-92945, 92951 i 92953: kiedy poprawka sandboxa nie kończy historii

Trzy CVE, dwie wersje poprawek. Finding zamknięty na 3.11.7 nadal jest podatny na CVE-2026-92953. 6 października 2026 · ~5 min czytania Czytaj wpis → Case study

@a2ui/web_core CVE-2026-10032: agent podsuwa javascript: URI, kliknięcie wykonuje kod w originie aplikacji

Output agenta AI trzeba traktować jak niezaufane dane — także wtedy, gdy staje się przyciskiem w UI. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

fsspec CVE-2026-104851: otwarcie pliku referencji wykonuje kod przez Jinja2

Nie każdy host z fsspec jest podatny. Liczy się, czy otwierasz dokumenty referencji z niezaufanego źródła. 6 października 2026 · ~5 min czytania Czytaj wpis → Analiza

Tinypool CVE-2026-104849: CVSS 10, ale tylko jako drugi krok łańcucha z prototype pollution

Gadżet RCE działa tylko w łańcuchu z prototype pollution. Skaner widzi Critical, VE musi sprawdzić pierwszy krok. 6 października 2026 · ~5 min czytania Czytaj wpis → Case study

SGLang CVE-2026-93088: ZeroMQ bez uwierzytelnienia + pickle.loads() = unauth RCE w inference plane

Brak kompletnych vulnerability metadata nie oznacza braku podatności. VE musi przejść od CVE do kodu i reachability. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Cisco ASA/FTD/FMC hardening CVE-2026-20329–20336: gdy tabela fixed releases zmienia się po fakcie

Remediation metadata jest zmienne w czasie — wymaga rewalidacji tak samo jak threat intelligence. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

F5 BIG-IP APM CVE-2026-94127: Critical RCE, ale tylko gdy istnieje właściwy attack path

CVE obecne nie znaczy attack path obecny. Configuration-aware VM: szybciej łataj realnie narażone, mniej false positives. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

SolarWinds Observability Self-Hosted CVE-2026-28324/28325: dwa unauth RCE, ale tylko przy określonych trybach

Version match to początek, nie koniec — dwa RCE 9.8 wymagają runtime/config inventory, nie samej wersji. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Unbound 1.26.1: jeden security release naprawia dziewięć CVE

Przy skumulowanych security releases jednostką pracy bywa kampania wersji, nie dziewięć niezależnych ticketów. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

BIND 9 CVE-2026-19033: secondary serwuje IXFR przed końcową weryfikacją TSIG

Medium severity może chronić Critical asset function. Priorytet powinien uwzględniać rolę DNS, nie sam score. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Azure Arc CVE-2026-69399: confused deputy i CVSS 10.0

CVSS 10 nie zastępuje affectedness, a brak szczegółów nie jest licencją na dopowiadanie attack pathu. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Microsoft Container Registry CVE-2026-69865: CVSS 10.0, ale kto właściwie ma wykonać remediation?

Critical cloud CVE może wymagać pilnej pracy VE, mimo że klient nie ma niczego do spatchowania. 29 września 2026 · ~5 min czytania Czytaj wpis → Case study

NetBackup Flex OS CVE-2026-28197: low-privileged management shell → root na appliance i wszystkich kontenerach

EPSS prognozuje prawdopodobieństwo eksploatacji, nie blast radius. Backup appliance to koncentrator zaufania. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

libpng GHSA-qvg3-h654-xq3j: use-after-free po niepełnej dekompresji

Parser state jest częścią affectedness. Dla bibliotek multimedialnych VE potrzebuje code path i provenance binarium. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Nodemailer CVE-2026-100701: współdzielony DNS cache może pomieszać tls.servername

Poprawny parametr bezpieczeństwa użyty w złym kontekście może być równie groźny jak brak parametru. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Nodemailer CVE-2026-100702: zagnieżdżeni adresaci i stack exhaustion

Exploitability może zależeć od kształtu danych, nie tylko od ich wartości. Argument za runtime-aware VEX. 29 września 2026 · ~5 min czytania Czytaj wpis → Analiza

n8n sandbox escape przez mutable JSON.stringify

Bezpieczny compiler może stać się niebezpieczny, jeśli polega na globalnym helperze, który attacker wcześniej podmieni. 29 września 2026 · ~5 min czytania Czytaj wpis → Case study

n8n: anonymous resumeToken może ominąć human approval gate

Approval nie może być właściwością UI. Musi być właściwością capability „resume execution”. 29 września 2026 · ~5 min czytania Czytaj wpis → Case study

NetScaler CVE-2026-88771/88772: patch zamyka RCE, ale może zmienić ślady

Przy aktywnie wykorzystywanym RCE „patched” i „clean” to dwa różne stany. Patch nie usuwa webshella. 29 września 2026 · ~6 min czytania Czytaj wpis → Analiza

ManageEngine DDI Central: kiedy trust relationship mnoży blast radius

Management plane dziedziczy krytyczność od systemów, którymi zarządza. Validator semantics ≠ execution semantics. 29 września 2026 · ~6 min czytania Czytaj wpis → Analiza

MCP Python SDK: kiedy $ref w output schema zmienia walidację w capability sieciową klienta

„To tylko schema” nie jest boundary bezpieczeństwa. Walidacja nie zawsze jest pasywna. 29 września 2026 · ~6 min czytania Czytaj wpis → Case study

Cisco Secure Firewall

Hardening release to jednostka remediacji, nie 18 osobnych ticketów. Dwie luki już aktywnie wykorzystywane. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

Cisco ISE

Dla części gałęzi nie ma poprawki — remediacja wymaga migracji linii, nie patcha. Reachability to cały precondition. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

Issabel PBX CVE-2026-89026: jeden klucz JWT dla każdej instalacji → unauthenticated RCE

Sekret wspólny dla każdej instalacji to nie sekret. Forge tokenu → Asterisk System() → RCE bez logowania. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

Chamilo LMS CVE-2026-45140: upload w CStudio → unauthenticated RCE

Parametr doklejany do ścieżki bez sanitizacji + php://input = zdalne wykonanie kodu bez logowania. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Azure AI Foundry CVE-2026-85889: CVSS 10.0, ale nic nie patchujesz

W usłudze hosted właścicielem remediacji jest dostawca. Rejestr VM musi umieć zapisać „fixed by provider, no action”. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

Keycloak CVE-2026-94000: delegowany admin dołącza do grupy i zostaje realm-admin

Przed dodaniem do grupy trzeba sprawdzić każdą rolę, którą grupa nadaje. Inaczej delegacja staje się eskalacją. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

RestrictedPython CVE-2026-76825: string.Formatter omija safer_getattr i ucieka z sandboxa

Jedna klasa z traversalem atrybutów poza kontrolą sandboxa wystarcza, by z niego uciec. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

vm2 CVE-2026-92937: sanitizer patrzy na bezpośredni cel wywołania

Identity-check tylko bezpośredniego celu wywołania to za wąska granica — indirection przez call/apply ją omija. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

vm2 CVE-2026-92954: nieobsłużony host Promise ubija proces Node.js

Tylko Promise z wnętrza sandboxa były opakowane; te z hosta nie — unhandled rejection kończy proces. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

MongoDB C Driver CVE-2026-93393: przepełnienie sterty zależne od backendu TLS

Ten sam pakiet, inny backend TLS — inna affectedness. Windows TLS backend jest częścią findingu. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Cztery LPE w jądrze Linux: DirtyAH6, TUNderflow, PPPoEject, DiagSpill

Wyłączenie user namespaces łagodzi część LPE, ale nie DiagSpill. Mitygacja jest per-CVE, nie zbiorcza. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenShift oc-mirror CVE-2026-75939: podpis PGP sprawdzany za wcześnie → forge release

Sprawdzenie błędów przed przetworzeniem całego body to nie weryfikacja podpisu. Zaufanie do release pęka. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

WordPress CVE-2026-93485: zero-click unauth stored/DOM XSS w komentarzach

Domyślna instalacja jest podatna: moderacja off, wymóg zatwierdzonego komentarza do obejścia. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Tencent BrowserSkill CVE-2026-94111: słaba walidacja Origin w daemonie WebSocket

Walidacja Origin, która akceptuje dowolny chrome-extension ID, to nie walidacja. Origin ≠ tożsamość. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Oracle CSPU wrzesień 2026: 672 CVE, ~6% z komponentów third-party

Kwartalny CPU to nie 672 osobne tickety, lecz zestaw poprawek per produkt — a część CVE to komponenty third-party. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

MCP Atlassian: pięć CVE w jednym wydaniu 0.22.0

Advisory to nie jeden finding, a security release bywa jednostką remediacji. Walidacja nazwy URL nie równa się walidacji docelowego IP. 28 września 2026 · ~5 min czytania Czytaj wpis → Case study

Budibase CVE-2026-100681: CVSS 5.4 Medium, a wyciekają żywe tokeny OAuth

Base severity 5.4 nie widzi, że skutkiem jest wysyłka żywych tokenów OAuth do atakującego. Severity ≠ blast radius. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Nodemailer CVE-2026-92598: allow-lista i resolver liczą inny Punycode

Gdy walidacja i dostawa liczą różną formę tej samej nazwy, allow-lista przepuszcza to, co trafi gdzie indziej. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Nodemailer CVE-2026-100700: jeden nagłówek blokuje event loop na dziesiątki sekund

Kwadratowe backtracking w regex zamienia jeden nagłówek w DoS. Niezaufany input nie może wymusić nieproporcjonalnego kosztu. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Compliance Trestle: dwa incomplete fix

Poprawka konkretnego payloadu nie dowodzi naprawy klasy. Ta sama luka wraca alternatywną ścieżką. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Netty CVE-2026-93493: brak pola nextUpdate cicho pomija sprawdzenie unieważnienia certyfikatu

Brak opcjonalnego pola w odpowiedzi wyłącza sprawdzenie unieważnienia — bez błędu. Fail-open zamiast fail-closed. 28 września 2026 · ~5 min czytania Czytaj wpis → Analiza

WSO2 CVE-2026-5430: CVSS 10 sprzed miesięcy wraca jako KEV

Ten sam CVE może przejść z patched-but-not-urgent do known-exploited, mimo że numer CVE, CVSS i fixed version się nie zmieniły. 27 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Arista VeloCloud CVE-2026-93952: CVSS 10, active exploitation i patch per release train

patch_available powinno być funkcją release trainu, nie globalnym booleanem. Patch nie odpowiada, czy system był wcześniej przejęty. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

Cisco FMC CVE-2026-20324: sftunnel peer do root na management plane

Relacja manager↔managed device jest attack pathem i powinna być modelowana w VM. PR:L nie znaczy niskiego ryzyka. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

FreeIPA CVE-2026-76578: poprawiono jeden trik, ale nie granicę zaufania

Naprawa konkretnego payloadu nie dowodzi naprawy klasy błędu. Remediation verification powinna potwierdzać rezultat bezpieczeństwa. 27 września 2026 · ~5 min czytania Czytaj wpis → Analiza

FreeRDP CVE-2026-91949: Critical na serwerze, nieeksploatowalne w client-only

Inventory komponentów bez inventory ról runtime jest niepełne. Client-only to uzasadnione not-affected-in-context. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

IBM Guardium CVE-2026-84882: arbitrary file write i kompletność security release

CVE jest jednostką identyfikacji; vendor security release bywa rzeczywistą jednostką remediacji. 27 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Microsoft Office CVE-2026-100206: CVE nowe, poprawka stara

Vulnerability data ma provenance i czas. Nowy identyfikator nie zawsze oznacza nową ekspozycję. 27 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Netty CVE-2026-93568: utrata kontekstu Extended CONNECT może ominąć politykę

Biblioteka może złamać security boundary przez utratę danych, nawet jeśli sama nie podejmuje decyzji autoryzacyjnej. 27 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Netty CVE-2026-93572: dwa limity, a heap nadal można wyczerpać

Dwa poprawne lokalne limity mogą nadal tworzyć niebezpieczny globalny koszt. Invariant: input nie wymusza nieproporcjonalnej alokacji. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

Dell BOSS-N1: verified firmware nie musi być running firmware

Sygnał cryptographically verified jest wartościowy tylko wtedy, gdy wiadomo, jaki artefakt zweryfikowano. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw iOS CVE-2026-100551: HTTPS działa, ale pinning nie chroni Control UI

HTTPS present nie jest równoważne expected trust policy enforced. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw CVE-2026-100580: case mismatch omija ochronę cron i tworzy trwałe wykonanie

Policy matching musi używać kanonicznej reprezentacji operacji, a remediacja objąć artefakty trwałe sprzed fixa. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw CVE-2026-100585: non-owner może zatwierdzić prompt właściciela

Authentication of approver != authorization to approve. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw Codex CVE-2026-100586: non-owner tworzy binding do host-capable runtime

Binding lifecycle powinien być traktowany jak IAM role assignment. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw CVE-2026-100588: node.invoke omija admin scope

Autoryzacja musi być właściwością capability, a nie pojedynczego endpointu. 27 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenClaw CVE-2026-100599: integracja Google Meet omija ścieżkę zatwierdzania wykonania

Approval jest security boundary tylko wtedy, gdy jest właściwością capability, nie wybranej integracji. 27 września 2026 · ~5 min czytania Czytaj wpis → Analiza

WordPress CVE-2026-87902: od patch diff do code execution w kilka godzin

Unauth path traversal/LFI w page-template (affected 4.7.0–7.1.1). Patchstack: probing w dniu patcha, próby pearcmd.php i zapisu PHP w godziny. Fix 7.1.2/7.0.6/6.9.9/6.8.10 + backporty do 4.7.37. Exploit half-life krótszy niż SLA → SLA dynamiczne; branch-aware fixed versions; patch + hunt. 25 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Roundcube CVE-2026-48842: czteromiesięczny High z AC:H wraca jako actively exploited

Pre-auth SQLi w virtuser_query (bypass preg_replace, CVSS 8.1 AC:H, fix 1.6.16/1.7.1, maj 2026). 21.09 Cyber Centre: exploitation in the wild. Active exploitation nie zmienia CVSS, ale unieważnia stary risk acceptance; AC:H → deprioritize bez threat state jest niebezpieczne; severity ≠ priority. 25 września 2026 · ~5 min czytania Czytaj wpis → Case study

Check Point: patch był od 9 września, potem globalne ataki i osobny zero-day

CVE-2026-85102 (VPN, patch 9.09) od 12.09 pod globalną falą ataków; 22.09 osobny zero-day CVE-2026-93616 (pre-auth path traversal w Security Management → arbitrary script/Java class load, ataki punktowe już od 23.07). Stan ryzyka zmienia się bez zmiany CVSS; reopen findingów, earliest_known_exploitation_date, JHF take, LivePatch ≠ coverage. 25 września 2026 · ~6 min czytania Czytaj wpis → Case study

DBHub MCP CVE-2026-61742: „localhost” nie jest granicą zaufania

Kontrola Origin==Host porównuje nazwy, nie dokąd nazwa prowadzi — DNS rebinding ją omija, a brak auth przed /mcp pozwala wołać tools/call execute_sql z przeglądarki ofiary (HTTP transport; stdio nietknięty). localhost to adres, nie tożsamość; transport jako affectedness; blast radius = przywileje credentiali DB; fix 0.22.5. 25 września 2026 · ~6 min czytania Czytaj wpis → Case study

Cisco ISE CVE-2026-76460: CVSS 10, active exploitation i brak workaroundu

Niewystarczająca kontrola uwierzytelnienia w API pozwala nieuwierzytelnionemu zdalnemu atakującemu ominąć web management (CVSS 10.0). Cisco potwierdza active exploitation, brak workaroundu; fixed 3.1P12/3.2P11/3.3P12/3.4P7/3.5P4, ISE 3.0 EOL → migracja. NAC/identity jako asset context; patch + compromise assessment. 22 września 2026 · ~6 min czytania Czytaj wpis → Case study

Cisco Secure Email Gateway CVE-2026-76461: crafted email → SQL injection → root

Niewystarczająca walidacja w parsowaniu poczty AsyncOS — wiadomość ze złośliwym SQL → SQL injection → command execution → root (CVSS 9.8, active exploitation). Root pozwala usunąć IOC na urządzeniu: PATCH_APPLIED ≠ COMPROMISE_EXCLUDED; fixed 15.5.5-014/16.0.4-302/16.5.0-780; korelacja z zewnętrzną telemetrią. 22 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Cisco IOS XR CVE-2026-20274–20280: advisory się nie zmienił, ale remediation tak

Wrześniowy hardening grupuje wiele underlying vulns pod 7 CVE (CVSS = maksimum najgroźniejszej; 1 CVE ≠ 1 weakness ≠ 1 exploit path). Advisory z 2.09 zmieniał dostępność fixed releases i SMU (14/15/17.09) — remediation_available to stan dynamiczny; rozdziel VULNERABILITY_STATE od REMEDIATION_STATE; monitoruj revision history advisory. 22 września 2026 · ~6 min czytania Czytaj wpis → Case study

HackingBuddyGPT CVE-2026-90621: CVE mówi „command injection”, źródło pokazuje RCE na stacji operatora

Rekord: OS command injection w ssh_run_command. Źródło (issue #150): przejęty target umieszcza prompt-injection w output SSH → historia LLM bez taint → model generuje komendę → tmux send-keys → shell operatora. untrusted tool output → model context → privileged action; zachowaj provenance attack path. 14 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Cochise CVE-2026-90623: CVSS 3.7 za host-key, ale report pokazuje łańcuch MITM → prompt injection → RCE

asyncssh.connect() z known_hosts=None + surowy output SSH do kontekstu LLM bez taint. Rekord opisuje wąski problem SSH; report łączy: brak weryfikacji host key → MITM → złośliwy output → kontekst LLM → akcja agenta. Niska severity primitive ≠ ryzyko systemowe w agentach. 14 września 2026 · ~6 min czytania Czytaj wpis → Analiza

FedML CVE-2026-90614: rekord opisuje remote deserialization, ale źródło pierwotne celowo milczy

Rekord: S3Storage.read_model w backendzie MQTT+S3, deserializacja nieufnych danych. Referencyjne issue #2267 świadomie nie zawiera szczegółów (brak PVR/SECURITY.md). Provenance i confidence ważniejsze niż temat; model provenance zamiast verified=true; nie wymyślaj fixed version. 14 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Flatpak CVE-2026-90616: GHSA miesiąc bez CVE, potem nowy identyfikator

Sandbox escape przez symlink w app data → bwrap --bind montuje część host FS do sandboxa (GHSA 11.08, patch 1.18.1); CVE dopiero 12.09. CVE-only ingestion ma blind spot ~miesiąca; koreluj GHSA↔CVE↔OSV; patch lineage upstream vs distro backport. 14 września 2026 · ~6 min czytania Czytaj wpis → Analiza

HexStrike AI CVE-2026-90619/90620: dwa CVSS 5.5 opisują unauthenticated remote shell, a fixed release nie istnieje

API na 0.0.0.0:8888 bez auth: /api/python/execute i /api/command (shell=True) działają jak remote shell. Oba 5.5, ale rolling-release bez fixed version. dangerous capability + reachability + brak authorization; nie wymyślaj fixed version — property-based verification. 14 września 2026 · ~6 min czytania Czytaj wpis → Case study

PentestAgent CVE-2026-90617/90618: CVSS 5.5, ale domyślny MCP na 0.0.0.0 prowadzi do host RCE

MCP HTTP Server domyślnie 0.0.0.0:8080 bez auth/TLS, narzędzie run_task, a LocalRuntime wykonuje komendy przez shell — sieciowy unauth request → host RCE. Rolling release, PR naprawczy otwarty; score nie modeluje architektury agenta; property-based verification. 14 września 2026 · ~6 min czytania Czytaj wpis → Case study

Suprema BioStar CVE-2026-31278: UI maskuje hasło, API oddaje je plaintext

Endpoint /api/v2/setting/adserversetting zwraca AD bind password w plaintext uwierzytelnionemu użytkownikowi, mimo maskowania w UI. Maskowanie to kontrola prezentacji, nie dostępu; upgrade zatrzymuje odczyt, ale nie odbiera kopii sekretu — wymagana rotacja i ocena reuse. 14 września 2026 · ~6 min czytania Czytaj wpis → Analiza

N-able Mail Assure CVE-2025-68624 DISPUTED: MITRE mówi CVE, vendor mówi „intended functionality”

Uwierzytelniony user SMTP jednego tenanta używa w MAIL FROM domeny innego i przechodzi SPF/DMARC. Vendor: intended shared-relay; MITRE: DISPUTED. DISPUTED ≠ false positive; rozdziel reprodukowalność, security contract i lokalne ryzyko; nie wymyślaj fixed version. 14 września 2026 · ~5 min czytania Czytaj wpis → Analiza

AWS Security Agent CVE-2026-87912/87913: przewidywalna nazwa S3 może wyprowadzić cały workspace

Brak weryfikacji ownership bucketu S3 (nazwa z account-id+region) — atakujący rejestruje przewidywalną nazwę, a agent uploaduje archiwum workspace (kod, secrets, IaC). software remediation ≠ state remediation; upgrade nie odzyskuje nazwy przejętej wcześniej — weryfikacja + rotacja. 13 września 2026 · ~6 min czytania Czytaj wpis → Case study

AWS SSM Agent CVE-2026-89049: denylista przegrywa z równoważnymi reprezentacjami adresu — SSRF do IMDS i IAM

Session Manager remote-host port forwarding: bypass denylisty przez równoważne reprezentacje adresu → link-local → temporary IAM role credentials instancji EC2, użyte spoza niej. Fix 3.3.4851.0 + ograniczenie ssm:StartSession; enrichment: kto ma permission, rola, blast radius. 13 września 2026 · ~6 min czytania Czytaj wpis → Analiza

projen CVE-2026-89065/89066: jedna poprawka działa przy następnym uruchomieniu, druga wymaga re-synthesis

89065 (path traversal w .projen/files.json — containment przy kolejnym uruchomieniu) i 89066 (OS command injection utrwalony w .projen/tasks.json — fix 0.103.0 nie wystarcza, wymaga re-synthesis). Wersja generatora ≠ wersja artefaktu; provenance generated_by. 13 września 2026 · ~6 min czytania Czytaj wpis → Case study

GitLab CVE-2026-87719: użytkownik jest uwierzytelniony, ale GraphQL prowadzi go do obiektów poza granicą

Insecure deserialization w serializerze GraphQL subscription (CVSS 9.9): user z Duo Chat omija model serializacji, robi server object lookup i sięga konfiguracji Advanced Search oraz credentials. Authentication ≠ authorization/object boundary; affectedness: version + EE + Duo Chat. 13 września 2026 · ~6 min czytania Czytaj wpis → Case study

GitLab CVE-2026-88765: projekt jako nieufny artefakt wejściowy — import → Advanced Search → RCE

Buffer overflow w Unicode conversion wrapper (CVSS 8.5): uwierzytelniony user importuje crafted Git project export, a indeksowanie Advanced Search prowadzi do RCE. Projekt to supply-chain input; CVSS 8.5 myli (RCE blisko sekretów/CI); attack path wymaga EE + import + Advanced Search. 13 września 2026 · ~6 min czytania Czytaj wpis → Analiza

JFrog Artifactory: dwa „High” CVE, które razem robią unauthenticated → admin. Tu patch nie kończy incydentu

CVE-2026-42018 (anonymous JWT) + CVE-2026-42016 (scope bypass → admin token) — chain potwierdzony przez Wiz w produkcji (15.08–08.09): trwałe konta admin, Groovy plugins, Rust backdoor, C2. Oba KEV. Dwa High > pojedynczy Critical; patched ≠ remediated; fixed 7.133.11 + skorygowane mapping. 13 września 2026 · ~7 min czytania Czytaj wpis → Case study

Kiro IDE CVE-2026-89332: agent prosi o zgodę po tym, jak już zapisał zmianę

Agent w niezaufanym projekcie modyfikuje workspace settings, ustawiając Powers registry na endpoint atakującego; plik zapisany PRZED akceptacją, a otwarcie panelu Powers wykonuje request. Approval UI to nie security boundary, jeśli side effect nastąpił wcześniej; AWS zaleca rotację credentials. 13 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Amazon ion-java CVE-2026-85786: patch był, ale właściwość bezpieczeństwa nadal była złamana

1.12.0 wprowadził opt-out dla GZIP auto-decompression (fix CVE-2026-75936), ale niewystarczająco — memory-amplification DoS pozostał; fixed 1.12.1. Version check zawodzi przy incomplete fix i forkach/shaded JAR; remediation verification testuje property, nie zniknięcie CVE ze skanera. 13 września 2026 · ~6 min czytania Czytaj wpis → Analiza

GitLab CVE-2026-85706: CVSS 10.0 trafia do KEV dzień po critical patchu

Path traversal w repository commits API, unauth arbitrary file read (CVSS 10.0): fix 19.3.2/19.2.6/19.1.8 (10.09), a 11.09 CISA dodała do KEV. Patch przywraca property od wdrożenia, nie cofa wcześniejszego odczytu; exposure review + compromise assessment + credential response. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

Cisco FMC CVE-2026-20079: CVSS 10, root bez logowania i active exploitation

Zdalny unauth authentication bypass w web interface → script/command execution → root. 09.09 Cisco potwierdził active exploitation od sierpnia. Hotfix chroni przed przyszłym wykorzystaniem, ale może nie usuwać skutków kompromitacji; IOC; patched ≠ uncompromised. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

AOMEI Backupper CVE-2026-12780: zwykły użytkownik pisze po fizycznym dysku, a przy wyłączonym Secure Boot wchodzi przed EDR

world-accessible device object (amwrtdrv.sys) pozwala nieuprzywilejowanemu procesowi na arbitrary write do fizycznego dysku; przy wyłączonym Secure Boot chain przechodzi do pre-OS UEFI execution, przed EDR/HVCI. „Local” ≠ mały blast radius; brak vendor fixed version — weryfikuj sterownik. 12 września 2026 · ~6 min czytania Czytaj wpis → Analiza

ExLlamaV3 CVE-2026-84286: fix jest w repo, 49 downstreamów nadal musi go odziedziczyć

Out-of-bounds access w natywnym rozszerzeniu CUDA (K=0, cbi bez walidacji) → CUDA illegal memory access, DoS. Fix merged (PR #310), vendor status Unknown — nie wymyślaj fixed version; śledź source commit → native build → wheel/container → deployment. 12 września 2026 · ~6 min czytania Czytaj wpis → Analiza

IBM ContextForge MCP Gateway CVE-2026-78573: Critical 9.8, który nie jest Critical dla każdego wdrożenia

Domyślne poświadczenia dają admin, ale tylko gdy api_allow_basic_auth lub mcpgateway_ui_enabled są włączone. Configuration-aware affectedness; patch 1.0.10 + credential remediation; gateway jako control plane rozszerza blast radius na tools i integracje. 12 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Gemini Enterprise Agent Platform CVE-2026-19486: vendor załatał platformę, ale twoja aplikacja może być podatna

SSRF w auto-generowanym /api-proxy może wyprowadzić token domyślnego konta usługi Compute Engine. Vendor-side patch ≠ customer-side remediation — aplikacje wygenerowane wcześniej trzeba regenerować i redeployować; patch lineage generatora; weryfikacja behawioralna. 12 września 2026 · ~6 min czytania Czytaj wpis → Analiza

IBM Langflow 1.11.5: jeden fixed version, wiele różnych dróg do RCE

Rodzina RCE (unauth MCP 85025, graph code injection 81204, OS command 79724, MCP Tools stdio 81941 omija LANGFLOW_BLOCK_CODE_INTERPRETER_COMPONENTS). Wspólny fix 1.11.6, ale różne preconditions i verification; feature-level control vs capability-level policy; variant analysis. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

FrontMCP CVE-2026-59973: fix SSRF blokuje 127.0.0.1, ale DNS i redirect prowadzą z powrotem do localhost

Poprzedni fix (CVE-2026-39885) dodał denylistę hostów, ale property miało brzmieć „untrusted OpenAPI nie sięga prywatnych sieci” — DNS→loopback, redirect, IPv4-mapped IPv6 wciąż działają. External $ref w OpenAPI jako outbound HTTP; patch intent → security invariant. 12 września 2026 · ~5 min czytania Czytaj wpis → Case study

MySQL MCP Server CVE-2026-59971: stdio jest bezpieczne, SSE otwiera 0.0.0.0 bez auth

W stdio brak attack path; przy MCP_TRANSPORT=sse SseServerTransport nie dostaje security_settings — brak ochrony DNS-rebinding, bind 0.0.0.0, brak auth, a sink wykonuje SQL. Bezpośrednia ekspozycja i DNS rebinding; component version bez runtime context daje false positive i false negative. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

Central Dogma CVE-2026-11746: nie ustawiasz sekretu, system nie failuje — wstawia publiczne „ch4n63m3”

Brak replication.secret nie zatrzymuje startu — aplikacja podstawia stałą wartość ch4n63m3, zmieniając błąd konfiguracji w przewidywalny credential do ZooKeeper replication (odczyt logu, dołączenie do quorum). declared config ≠ effective config; fail-closed dla missing value. 12 września 2026 · ~5 min czytania Czytaj wpis → Case study

Prowler CVE-2026-59151: podpis SAML jest poprawny, a token trafia do złego tenanta

Flow SAML ponownie wylicza tenant z domeny e-mail w assertion (dostarczanej przez IdP) zamiast z wybranej konfiguracji — atakujący z własnym IdP wydaje token dla cudzego tenanta (cross-tenant account takeover). Identity prawdziwe, tenant binding błędny; re-derived authorization context. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

mistral.rs GHSA-wfgq-w7cq-qj7j: „image_url” to nie tylko obraz — unauthenticated SSRF i local file read

Media loader pobiera client-controlled URL bez walidacji hosta i otwiera lokalne ścieżki/file:// — unauthenticated SSRF (loopback/RFC1918/metadata) i local file read. Dwa różne primitive'y w jednym polu; capability inventory dla AI infra; asset context dominuje nad severity; fix 0.8.18. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

Argos CI CVE-2026-59960: nazwa brancha staje się komendą /bin/sh

Przy hasRemoteContentAccess=false wartość ref/branch (kontrolowana przez autora PR) trafia do execSync → /bin/sh -c → RCE na runnerze. pull_request_target zmienia priorytet; metadata SCM jako untrusted input; SBOM nie wystarcza — kontekst workflow (event, permissions, runner, secrets). 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

yayson CVE-2026-61534: type=„__proto__” zatruwa Object.prototype

Pola JSON:API (type/id/relationship) trafiają do plain-object maps; klucz __proto__ zmienia prototyp bazowego obiektu. Najpewniejszy skutek to DoS/logic corruption; auth bypass/RCE wymaga downstream gadgetu. Rozdziel primitive, reachability i impact gadget; fix 4.3.0; variant analysis. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

OmniRoute CVE-2026-88062: custom-agent uruchamia attacker-controlled binary — Critical 10.0 z problemem patch lineage

POST /api/acp/agents: niewystarczająca walidacja binary/versionCommand → interpreter-eval przy version-probe → RCE. Źródła niespójne co do fixed version; maintainer: LOCAL_ONLY przed handlerem + hardening sinku. Nie zamykaj po numerze z feedu — testuj dwie właściwości. 12 września 2026 · ~6 min czytania Czytaj wpis → Case study

CISA Malcolm CVE-2026-90456: przykładowe .env z publicznym hasłem staje się produkcyjnym credentialem

Publicznie znany stały credential z example config skopiowany do aktywnego deploymentu bez setupu regenerującego sekret. Affectedness = wersja ORAZ provenance konfiguracji; 26.06.0 unaffected, ale upgrade to nie jedyny krok — weryfikuj efektywny credential, rotuj, sprawdź kopie; code vs state remediation. 12 września 2026 · ~5 min czytania Czytaj wpis → Analiza

rclone auth-proxy: trzy protokoły, trzy różne bypassy

Trzy świeże CVE auth-proxy: CVE-2026-88018 (serve s3, SigV4 bypass bez --auth-key, Critical), 88044 (RC per-server bypass, Critical), 88017 (FTP cross-session backend confusion, High). Wspólna etykieta ≠ jeden defekt; feature flag nie jest security boundary; enforcement i verification per protocol. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Traefik: jeden reverse proxy, cztery różne granice zaufania

Pakiet CVE (10.09): CVE-2026-88007 (HTTP/3 reuse połączenia uwierzytelnionego NTLM/Negotiate przez innego klienta, CVSS v4 9.1, fix 3.7.13/2.11.57) + 88008/88009/88004 (request smuggling, request-target vs routing, trailer sanitization). Cztery różne properties; affectedness = protokół + typ auth backendu + keep-alive + routing + parser; verification per CVE. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

Open WebUI OAuth CVE-2026-88006: drugi entry point wydaje sesję, ale nie dziedziczy polityki

Token exchange przyjmuje prawidłowy token providera i wydaje sesję, ale nie stosuje pełnej polityki callbacku (domain allowlist <0.9.0, role management <0.11.1, fix 0.11.1). Policy parity failure; nie cryptographic break; ENABLE_OAUTH_TOKEN_EXCHANGE domyślnie off → affectedness konfiguracyjny; testuj parity per entry point. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

GoAnywhere MFT CVE-2026-15913: „low privilege” użytkownik wychodzi z sandboxa

Path traversal w /attachRemoteFiles daje arbitrary file read poza home directory Web Usera (CVSS 7.7) — ale tylko przy jednoczesnym Secure Folders + Secure Mail. PR:L nie znaczy „mały problem”; affectedness jako predicate; rola aplikacyjna nie jest granicą bezpieczeństwa; fix 7.10.2. 11 września 2026 · ~5 min czytania Czytaj wpis → Case study

Renovate i złośliwy Link header: dependency bot może wynieść własne credentials

CVE-2026-88881: przy paginacji GitHub API Renovate ufa URL-owi z nagłówka Link i przy next może wysłać credentials do attacker-controlled hosta (precondition: złośliwy/skompromitowany serwer). Nie SSRF — przeniesienie sekretu przez granicę origin; niespójna fixed version (44.11.2 vs 44.11.3) — zachowaj provenance, weryfikuj do 44.11.3. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Check Point: dwa CVSS 9.8 w tym samym VPN stacku, ale różny blast radius

CVE-2026-85102 (Security Gateway, Remote Access/Site-to-Site VPN) i CVE-2026-85103 (heap overflow ASN.1, obejmuje też Security Management Server) — oba unauth RCE, 9.8. Ten sam vendor, dzień i score, ale dwie populacje assetów i dwie kampanie. Deduplikacja po score jest niebezpieczna. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

Fastify CVE-2026-16732: fix działał dla CIDR, ale nie dla „trustProxy: 1”

Poprzedni fix (CVE-2026-3635, socket.remoteAddress) działał dla IP/CIDR/custom function, ale numeric trustProxy ignoruje adres — guard zawsze przepuszczał X-Forwarded-*. Prawdziwy incomplete fix; 5.12.1 usuwa numeric wariant. Patch verification ≠ installed>=fixed. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

Akana API Platform: dwa parsery tej samej ścieżki, jeden auth bypass i CVSS 10.0

CVE-2026-85978: unauth RCE w Policy Manager console przez parser differential — auth filter i servlet dispatcher normalizują ścieżkę inaczej, skrypt bez sandboxa. Rekord ma Affected/Patched: Unknown — nie wymyślaj wersji; WAF jako trzeci parser bywa niebezpieczny. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Apple Containerization 1.4.1: kolejny symlink escape w OCI — patch lineage > severity

GHSA-4587-w9mm-xxvh: loader OCI może podążyć za symlinkiem dla oci-layout i index.json poza katalog ekstrakcji. Moderate, ale po serii z 1.3.1 to sygnał do variant analysis klasy „OCI import boundary”; pułapka braku release 1.4.0; import OCI jako trust boundary. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

ASP.NET Core CVE-2026-69304: host jest spatchowany, a aplikacja nadal podatna

IIS out-of-process + request decompression DoS (CVSS 5.9). Patched 8.0.31/9.0.20/10.0.12/11.0.0-rc.1, ale self-contained aplikacje muszą zostać recompiled i redeployed. Fixed platform ≠ fixed application; inventory z deployment_type i lifecycle do ACTIVE_RUNTIME_VERIFIED. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

FreeIPA CVE-2026-19550: „read trust” uruchamia uprzywilejowany trust refresh

trust-fetch-domains chronione uprawnieniem read-only, nie administracyjnym — zwykły user uruchamia AD trust refresh do kontrolowanego serwera (CVSS 8.2). Nazwa uprawnienia nie opisuje blast radiusu; affectedness wymaga AD trust; mitigacja ma trade-off z SSSD. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

crun: trzy świeże CVE i trzy różne warunki przejścia z kontenera do hosta

CVE-2026-84042 (libkrun + rootful + passt → host-root RCE), CVE-2026-88264 (/dev/console symlink) i CVE-2026-88265 (/dev/null po pivot_root). Różne predicates reachability; scanner po samym package daje false positive i false negative. Package to za mało. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

PAN-OS CVE-2026-0310: ten sam parser XML — root RCE na PA-Series, ale DoS na VM-Series

Unauthenticated buffer overflow w obsłudze XML (management web/dataplane). Ten sam CVE: root RCE na PA-Series, DoS na VM-Series; Panorama w zakresie. Suggested Urgency HIGHEST, brak workaroundów. CVE to nie kompletna jednostka ryzyka: version + platform + reachability + fixed train. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

Parse Server CVE-2026-87806: puste hasło w LDAP może dać ważny session token

Zero-length credential w LDAP simple bind (unauthenticated bind) bywa interpretowany jako proof of authentication → account takeover. Affected ≠ exploitable (adapter + directory semantics, AD vs OpenLDAP); fix przesuwa walidację przed kontakt z katalogiem. Sukces protokołu ≠ sukces bezpieczeństwa. 11 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Velociraptor CVE-2026-19584: payload zapisany dziś może wykonać się przy przyszłym restore

Investigator z prawem edycji notebooka zapisuje złośliwy VQL; daily backup go zachowuje, a późniejszy restore interpoluje go do template bez ACL check i wykonuje z podniesionymi uprawnieniami (CVSS 7.7). Remediation musi objąć historyczne backupy, nie tylko upgrade do 0.77.2. 11 września 2026 · ~6 min czytania Czytaj wpis → Case study

.NET / Visual Studio CVE-2026-71328: PDB jako nieufny artefakt wykonawczy

Out-of-bounds write w Microsoft.DiaSymReader.Native przy MSFZ PDB (CVSS 8.8) → RCE w procesie parsującym plik. Ryzykownym wejściem jest artefakt debug/symbol pobierany i indeksowany automatycznie; fix 18.9.0-beta1.26405.2, uwaga na self-contained. Mapuj parser reachability jak endpointy. 10 września 2026 · ~5 min czytania Czytaj wpis → Case study

OpenHop CVE-2026-59179: „tylko localhost” nie znaczy „nieosiągalne z Internetu”

Niesanitowany parametr id w path.join() daje path traversal na plikach .yaml (read/delete, CVSS 8.3). CORS origin:true pozwala na browser pivot z localhost; Docker HOST=0.0.0.0 daje bezpośrednią ekspozycję. Reachability nie jest binarna — false negative z błędnego modelu. 10 września 2026 · ~5 min czytania Czytaj wpis → Analiza

VS Code CVE-2026-81378: policy parser sprawdza inny URL niż Chromium wykonuje

Przy chat.agent.networkFilter URL z backslash/mieszanymi separatorami jest inaczej interpretowany przez filtr (empty authority dopuszczone) niż przez Chromium (konkretny host, CVSS 8.2). TOCTOU semantyki, nie SSRF; fix 1.136.2: canonicalize → authorize → revalidate before side effect. 10 września 2026 · ~5 min czytania Czytaj wpis → Case study

VS Code CVE-2026-78462: repozytorium staje się zdalnym control plane

.vscode/settings.json niezaufanego repo mógł wskazać remote agent host i local-file grants — bez nadania Workspace Trust (CVSS 8.8). Fix 1.136.2 czyta je tylko z konfiguracji globalnej. Metadata control-plane repozytorium to osobna powierzchnia ataku. 10 września 2026 · ~5 min czytania Czytaj wpis → Analiza

VS Code CVE-2026-81376: Restricted Mode bez pełnego enforcementu

Niepełne egzekwowanie Workspace Trust przy zagnieżdżonych obiektach konfiguracyjnych (CVSS 9.6): user otwiera niezaufany workspace w Restricted Mode, nie nadaje trustu, a złośliwa konfiguracja i tak łączy się z usługą atakującego. Stan UI to nie dowód stanu bezpieczeństwa. 10 września 2026 · ~5 min czytania Czytaj wpis → Case study

containerd CVE-2026-53495: CVSS 6.8 Medium, ale awaria kończy się na poziomie node’a

ExecSync/exec probes/lifecycle hooks zostawiają zablokowane goroutines, gdy proces tworzy długowieczne dziecko dziedziczące stdio — narastająca pamięć, OOM, śmierć containerd i utrata runtime na całym node. CVSS 6.8 ≠ business impact 6.8; fix 1.7.35/2.0.12/2.2.8/2.3.5. 10 września 2026 · ~6 min czytania Czytaj wpis → Case study

functype-mcp-server CVE-2026-59176: „zmień wersję” staje się RCE

Argument „version” w set_functype_version trafia jako package specifier do pnpm, który obsługuje aliasy/ścieżki — instalacja i dynamiczny import atakującego pakietu w jednym workflow (CVSS 7.8, fix 1.4.4). Application type ≠ downstream interpreter type; ryzyko indirect prompt injection. 10 września 2026 · ~5 min czytania Czytaj wpis → Case study

AWS mysql-mcp-server CVE-2026-85788: komentarz SQL omija read-only

Inline SQL comment omija aplikacyjny read-only (fix 1.0.23). AWS sam nazywa read-only best-effort safeguard, nie zamiennikiem uprawnień konta DB — realny blast radius wyznaczają GRANT-y (w tym FILE). Least privilege jako granica; PATCH_APPLIED ≠ REMEDIATION_VERIFIED. 10 września 2026 · ~5 min czytania Czytaj wpis → Case study

AWS postgres-mcp-server CVE-2026-87911: „read-only” może skończyć się poleceniem w OS

Crafted SQL może użyć COPY ... TO PROGRAM, jeśli rola PostgreSQL ma superuser albo pg_execute_server_program — execution boundary przesuwa się na host bazy (fix 1.1.7). Najmocniejszy control to least privilege roli, nie regex na SQL; VEX oparty o efektywne uprawnienia. 10 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Apache Artemis 2.57.0: jeden release, wiele różnych pre-auth granic zaufania

2.57.0 naprawia serię pre-auth problemów CORE/OpenWire: unauth queue create, topology disclosure, cluster credential exposure, session hijack (SESSION_REATTACH), queue deletion. Wspólny target, pięć różnych attack paths; upgrade zmienia groupId i wymaga Java 17+. 10 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Postfix 3.11.7: najnowszy legacy release może nie zawierać wszystkich wcześniejszych fixes

Postfix wydał 3.11.7 i legacy 3.10.14–3.5.28, ale wydania out-of-support (3.5–3.7) nie zawierają wcześniejszych czerwcowych poprawek — trzeba je zastosować osobno. „Latest legacy release ≠ cumulative security state”; reguła installed>=fixed zawodzi; potrzebny patch lineage. 10 września 2026 · ~6 min czytania Czytaj wpis → Analiza

SuperTokens Core CVE-2026-37171: CVSS 5.9, EPSS niski, ale granica tenantów pęka

tId z access tokenu nie jest porównywany z tenantem ze ścieżki HTTP — cross-tenant session operations. GitHub: 5.9 Moderate, niski EPSS, ale dla SaaS granica izolacji pęka. Severity vs exploitability vs asset context; brak fixed version; conditional VEX; test TOKEN_TENANT==REQUEST_TENANT. 10 września 2026 · ~6 min czytania Czytaj wpis → Analiza

XZ Utils 5.8.4: fix istnieje w branchu, ale nie istnieje release

5.8.4 naprawia memory-safety w liblzma (invalid write przy reinicjalizacji decodera). Maintainer commitował fix też do 5.2/5.4/5.6, ale nie wyda nowych release'ów tych linii. Trzy stany „fixed” (committed/released/deployable); false positive/negative w SCA; rola distro backportów. 10 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Chrome CVE-2026-87491: „Medium” w release note, ale exploit istnieje in the wild

CVE-2026-87491 (out-of-bounds write w V8, 153.0.8010.36/.37): Google klasyfikuje Medium, a potwierdza „exploit exists in the wild”. „Medium + exploited” bywa pilniejsze niż „Critical + theoretical”; browser VM: patch installed ≠ browser restarted. 10 września 2026 · ~5 min czytania Czytaj wpis → Analiza

StyleSmuggler evolution: z zero-day bez CVE do CVE-2026-75650, CVSS 10 i hotfixu

7.09 Adobe (APSB26-146) nadał StyleSmugglerowi CVE-2026-75650, CVSS 10.0, potwierdził exploitation in the wild i wydał hotfix. Nie twórz nowego ticketu — aliasuj do istniejącego rekordu; vulnerability record to obiekt żyjący w czasie; hotfix osobno od APSB26-138. 10 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Windows: dwa CVSS 7.8 aktywnie wykorzystywane — lokalny EoP jako drugi etap chainu

CVE-2026-81963 (Update Stack link following) + CVE-2026-85880 (ALPC heap overflow), oba 7.8, oba w CISA KEV od 8.09. „Tylko local EoP” bywa błędną decyzją — w realnym chainie zamienia foothold w SYSTEM; KEV > intuicja z CVSS. 10 września 2026 · ~6 min czytania Czytaj wpis → Case study

GitPython CVE-2026-87817: złośliwe repo podszywa się pod własny `.git` i wykonuje pre-commit hook

CVE-2026-87817 (<3.1.60, CVSS v4 8.7): crafted repo przez gitdir/commondir/HEAD podszywa się pod strukturę Git, a malicious pre-commit hook wykonuje się przy index.commit(). Payload jako repo data; reachability (untrusted repo → commit) decyduje; DevSecOps/AI agents narażone. 10 września 2026 · ~6 min czytania Czytaj wpis → Case study

ScreenConnect: serwer jest spatchowany, ale podatny jest klient

CVE-2026-84869 (CVSS 9.9): file transfer/execution w aktywnej sesji bez autoryzacji Host. Vendor: „servers not impacted” — fix 26.6.5 wymaga reinstalacji Host Clientów i aktualizacji Access Agents. Remediation target ≠ komponent z root cause; status po rollout coverage. 9 września 2026 · ~6 min czytania Czytaj wpis → Case study

Apache Impala: klient z uprawnieniami do Data Source ładuje własną klasę Java = RCE

CVE-2026-65181 (2.7.0–4.5.1, fix 4.5.2): niewystarczająca autoryzacja Data Source tables → upload pliku, utworzenie tabeli i arbitralny kod Java jako daemon. „authenticated/privileged” to nie niskie ryzyko — privilege boundary violation. 9 września 2026 · ~6 min czytania Czytaj wpis → Case study

AWX: dwa różne SSRF-y wyprowadzają dwa różne sekrety

CVE-2026-71365 + CVE-2026-71366: forged webhook callback wysyła Git PAT; notification backend + redirect resenduje Basic Auth/Grafana API key. Inne role, endpointy, sekrety, testy — deduplikuj rekordy, nie security properties. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

HTML::FormHandler: 0.410000 było fixem XSS, ale nie wszystkich rendererów

CVE-2026-19872 (fix 0.410000) → CVE-2026-85485 (Table + Bootstrap 2/3 nadal bez escaping, fix 0.410002). Patch completeness ≠ correctness; naprawa reproduktora ≠ naprawa klasy błędu; variant analysis wszystkich sinków. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Xen XSA-510: „Xen ≥4.6” wygląda podatnie, ale DoS wymaga x86 + HVM + PCI passthrough + IO BAR

CVE-2026-79602: host-wide DoS przez BUG(), ale tylko przy wąskim predykacie; Arm not affected. Version-only scanner generuje ogromną populację false positive; upstream daje gotowy predykat exploitability do machine-verifiable enrichment. 9 września 2026 · ~5 min czytania Czytaj wpis → Analiza

OpenSearch: ta sama engine version jest jednocześnie „Affected” i „Fixed”

CVE-2026-84942 (Vega stored XSS): self-managed fix 2.19.5/3.6.0; w Amazon OpenSearch Service ta sama engine version jest affected i fixed po service-software remediation. Effective state = engine + provider patch plane + config; remediation ownership shared. 9 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Apache Impala: Bearer token przechodzi SAML mimo niesprawdzonego podpisu w finalnym kroku

CVE-2026-56207 (4.0.0–4.5.1, fix 4.5.2): w hs2-http Impala nie weryfikuje podpisu Bearer tokenu w końcowym kroku SAML2 — zmiana username → działanie jako inny user. Auth control jest tak silny, jak najsłabszy etap wpływający na finalną tożsamość. 9 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Airflow: patch naprawił podpis JWT, ale zostawił issuer/audience

CVE-2026-75156 (FAB provider 3.7.3–3.8.0, fix 3.8.1): incomplete fix CVE-2026-59243. Multi-tenant JWKS sprawia, że token z dowolnego tenanta Azure przechodzi walidację podpisu; issuer/audience niesprawdzane → cross-tenant auth bypass. valid signature ≠ valid identity. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

libpcap 1.10.7: patch nie działa bez migracji z `bpf_filter()`

1.10.7 zamyka 7 CVE, ale dla CVE-2026-31912 maintainer wymaga migracji z bpf_filter() do pcap_offline_filter(), inaczej poprawka jest nieskuteczna. fixed version ≠ security property; potrzebny reachability graph, nie tylko SBOM; build flags (rpcap) zmieniają attack surface. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

libfuse 3.18.3: nowy header nie wystarcza — runtime <3.18.3 zeruje `kill_suidgid`

3.18.3: seria fixów na granicy unprivileged caller ↔ setuid-root fusermount3 ↔ kernel. Custom IO wyłączone domyślnie (opt-in). FUSE_VERSION bez patch level → runtime <3.18.3 widzi kill_suidgid jako stale zero. build compliant ≠ runtime compliant. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Apache FreeMarker: package affected, ale traversal zależy od TemplateLoadera

CVE-2026-84939 (2.2.0–2.3.34, fix 2.3.35): path traversal w localized template lookup; localized lookup domyślnie włączony, ale realny impact zależy od TemplateLoadera. component affected ≠ vulnerable code reachable ≠ meaningful file escape; deterministyczny control: disable localized lookup. 9 września 2026 · ~6 min czytania Czytaj wpis → Case study

Apache Nutch: „patch” 1.23 usuwa cały Nutch Server

CVE-2026-41870 (unauth RCE przez JEXL) + 41871 (reflection job execution) + 41869 (forced shutdown) w legacy Nutch Server ≤1.22. Fix 1.23 usuwa cały JAX-RS REST API. Dostęp do API ≈ dostęp do hosta; remediation_type: feature_removal. 9 września 2026 · ~6 min czytania Czytaj wpis → Case study

Knowns MCP: `docs.update` kasuje pliki mimo profilu read-write-no-delete

CVE-2026-86439 (≤0.29.1, fix 0.30.0): filepath.Join bez containment → arbitrary read/write/delete poza project root; docs.update (CapWrite) robi rename → os.Remove, więc read-write-no-delete i tak kasuje. Capability powinno opisywać efekt, nie nazwę API. 9 września 2026 · ~6 min czytania Czytaj wpis → Case study

Apache Parquet: zaszyfrowany plik może wskazać własny KMS i wysłać tam token

CVE-2026-73334 (parquet-hadoop 1.12–1.18.0, fix 1.18.1): file-controlled KMS URL; custom KmsClient bez host validation wysyła KMS auth token na serwer atakującego. Adres systemu, któremu ufamy token, nie może pochodzić z nieufnego pliku; encryption jako attack surface. 9 września 2026 · ~6 min czytania Czytaj wpis → Analiza

MikroTik: Cyber Centre sugeruje exploitation także CVE-2026-67277, CERT Polska tylko 67276+86060

MikroTrick (67276+86060) jest potwierdzony jako aktywnie eksploatowany przez CERT Polska; Canadian Cyber Centre grupuje trzy CVE (dokłada 67277). Source precedence: przechowuj claim+source+timestamp+confidence+exact CVE scope, nie pojedynczy boolean exploited. 8 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Siemens Reyrolle 7SR5: jeden firmware V2.70 zamyka 14 CVE o różnych attack paths

SSA-142885 ( 8 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Hitachi Cosminexus: dla jednego CVE config przed patchem, dla drugiego po nim

CVE-2026-71374/71375/71376/71377: dla 71376 config trzeba zmienić przed patchem (inaczej start/stop przestaje działać); dla 71375/71377 dopiero po patchu, by fix był aktywny. package installed ≠ remediation complete; kolejność remediacji jest częścią bezpieczeństwa. 8 września 2026 · ~5 min czytania Czytaj wpis → Case study

NEC UNIVERGE: unauth WebGUI daje dowolne CLI, ale vendor mówi „wyłącz WebGUI”

CVE-2026-16876 (CVSS v4 9.3): manipulacja komunikatami WebGUI omija auth i wykonuje dowolne CLI commands. Deterministyczny workaround „no http-server ip enable” usuwa usługę będącą warunkiem attack path — machine-verifiable control z running-config. 8 września 2026 · ~5 min czytania Czytaj wpis → Case study

Red Hat EAP/Artemis: allow-list istnieje, ale pusta lista znaczy „zaufaj wszystkim klasom”

CVE-2026-86404 (CVSS 8.8): ObjectMessage.getObject() ma allow/block-list, ale domyślnie puste, a pusta allow-list = allow everything (isTrustedType() true). Feature present ≠ security property enforced; workaround: restrykcyjna allow-list per pooled-connection-factory. 8 września 2026 · ~6 min czytania Czytaj wpis → Analiza

StyleSmuggler: spatchowany Magento dostaje unauth RCE i backdoor — bez CVE, KEV i patcha

Sansec (05.09): unauth RCE w Magento/Adobe Commerce przez pola „styles” + render failure-payment → persistent backdoor. Pierwszy victim był na aktualnym patch level. Brak CVE/KEV/vendor patcha, ale active exploitation potwierdzone. „no CVE” ≠ „no vulnerability”; false clean. 8 września 2026 · ~7 min czytania Czytaj wpis → Case study

389 Directory Server: nieudany bind zostawia stale identity, a SASL ANONYMOUS przejmuje root

CVE-2026-18922 (CVSS 9.8): po nieudanym SASL PLAIN bind jako cn=Directory Manager stale identity nie jest czyszczone; kolejny SASL ANONYMOUS instaluje ją jako aktywną tożsamość → Directory Manager bez credentials. Testuj state transitions; mitigation: wyłączyć PLAIN. 8 września 2026 · ~6 min czytania Czytaj wpis → Case study

SAP CAP: unauth request wyciąga credentials, a potem usuwa tenant data

CVE-2026-76969 (@sap/cds-mtxs, CVSS 9.4): w multitenant CAP z extensibility unauth request ujawnia credentials, którymi można zastąpić lub usunąć tenant data. Affectedness = package + multitenancy + extensibility; blast radius liczony w tenantach, nie hostach. 8 września 2026 · ~6 min czytania Czytaj wpis → Analiza

SAP NetWeaver Message Server: unauthenticated component registration w hubie zaufania

CVE-2026-58240 (kernel 9.16–9.20, CVSS 9.8): niewystarczająca weryfikacja autentyczności komponentów przy registration → unauthorized component w trusted topology. Message Server to trust hub; CVSS 9.8 wzbogać o reachability/topologię; segmentacja jako control. 8 września 2026 · ~5 min czytania Czytaj wpis → Analiza

SAP Extended Passport CVSS 10: memory corruption, ale publiczny opis nie dowodzi RCE

CVE-2026-44756 (CVSS 10.0): unauthenticated malformed EPP header → memory-safety violation, jawnie opisany crash; pełne C/I/A możliwe, ale brak dowodu działającego RCE ani active exploitation. Severity opisuje potencjalny impact; exploit evidence — to, co pokazano. 8 września 2026 · ~6 min czytania Czytaj wpis → Analiza

h3: GHSA było publiczne w marcu, CVE dopiero we wrześniu — CVE-only VM ma pół roku opóźnienia

CVE-2026-86250/86251: dwa GHSA (chunked-cookie DoS O(n²), path traversal w serveStatic) publiczne 20–21 marca 2026 z affected/fixed/PoC, a CVE trafiło do feedów dopiero 6 września. „No CVE found” ≠ „no known vulnerability”; rozdziel disclosure/advisory/cve daty; mapuj GHSA→ekosystem bez CVE. 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

OpenVPN 2.6 jest wspierane do 2028, ale świeży CVE naprawiono tylko w 2.7.7

CVE-2026-84732 (DoS control channel): affected 2.6.22 i 2.7.6, fixed tylko w 2.7.7. Linia 2.6 nadal wspierana, ale bez fixa bez migracji gałęzi. „supported” ≠ „patched”; rozdziel lifecycle_status od security_fix_available_on_current_branch; SCA pokaże 2.7.7, ale to migracja, nie patch. 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

PostgreSQL Anonymizer: kolejny low-priv → code exec — patch lineage uruchamia variant analysis

CVE-2026-19633 (CVSS 8.8): czwarty pokrewny CVE w 2026 (2361/9617/11945/19633). Wspólny wzorzec: untrusted SQL object → dynamic evaluation → privileged function. Seria CVE to sygnał telemetryczny — boundary jest trudna; exploitability zależy od CREATE privileges (PG14 vs 15+). 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

OpenAgents SSRF: rekord podatności i live issue nie mówią tego samego — source precedence

CVE-2026-86237: unauth POST /api/admin/default-model/test przyjmuje base_url → SSRF do metadata/localhost/internal. GHSA „unreviewed” bez fixed version i narracja o zamknięciu — a live issue #566 jest Open z PoC; rozbieżny CVSS (7.5 vs 5.5). Zachowaj provenance: claim+source+timestamp+confidence. 7 września 2026 · ~6 min czytania Czytaj wpis → Case study

Ignition: pole „Create Project Role(s)” było puste, więc kontrola robiła… nic

CVE-2026-77393 (ICS, CVSS v4 8.7): puste ustawienie oznaczało brak wymaganej roli, więc każdy user zdolny do gateway scripts mógł tworzyć projekty. To nie auth bypass — kontrola egzekwowała pustą konfigurację (insecure default). 8.1.54 ogranicza do Designer; konfiguracja zamyka ścieżkę bez upgrade. 7 września 2026 · ~5 min czytania Czytaj wpis → Case study

APITable: permission guard rzuca wyjątek, więc request przechodzi — fail-open

CVE-2026-86120: gdy permission lookup rzuca wyjątek, guard nie wymusza odmowy — użytkownik z ważnym tokenem zapisuje do datasheetów bez dostępu. Test „bez uprawnień → 403” nie wystarcza; weryfikuj error paths (timeout DB, wyjątek cache, 5xx). Variant analysis pozostałych guardów. 7 września 2026 · ~5 min czytania Czytaj wpis → Case study

Bifrost: ten sam CVE daje RCE na buildzie dynamicznym, ale tylko SSRF na oficjalnym obrazie

CVE-2026-86242 (CVSS 8.1): unauth /api/plugins przyjmuje plugin path jako URL → .so → plugin.Open. Build dynamiczny = RCE; statyczny obraz Docker → plugin.Open zawodzi → zostaje SSRF. Build jest częścią vulnerability context; SBOM nie mówi, jak skompilowano. 7 września 2026 · ~6 min czytania Czytaj wpis → Case study

Axolotl: „trust_remote_code” istnieje, ale jedna ścieżka i tak ustawia „True”

CVE-2026-86169 (CVSS v4 8.7): w ścieżce multipack trust_remote_code mógł pozostać None (nietraktowany jak False), a loader wywoływał from_pretrained z hardcoded True → RCE ze złośliwego repo modelu. Control istnieje, ale nie obowiązuje na wszystkich ścieżkach; None jako fail-open. 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

AI-Infra-Guard daje SAFE 100/100 z malicious „.pyc” — scanner sam tworzy false negative

CVE-2026-84809: skill-scan ignorował __pycache__ i .pyc, więc agent LLM nie widział wykonywalnego bytecode; skill z benign source i malicious .pyc dostawał SAFE 100/100. „scanner=SAFE” znaczy tylko „brak sygnału w analizowanej części”; patch nie unieważnia wcześniejszych SAFE — potrzebny rescan. 7 września 2026 · ~6 min czytania Czytaj wpis → Case study

Frontend Admin: string „user_1” omija autoryzację i przejmuje konto admina

CVE-2026-75816 (≤3.29.12, CVSS 9.8, unauth): nienumeryczny identyfikator omija kontrolę current_user_can('edit_post') → zmiana e-maila admina → natywny password reset → przejęcie konta. Impact oceniaj jako chain względem następnego zaufanego mechanizmu platformy, nie samego primitive. 7 września 2026 · ~7 min czytania Czytaj wpis → Case study

Fastify: malformed URL omija cały request lifecycle i globalny auth hook

CVE-2026-76169 (4.0.0–<5.12.2, CVSS 7.5): specjalna ścieżka błędnego URL trafiała do not-found handlera „sibling” pluginu z pominięciem lifecycle — nie wykonując preHandler ani globalnego onRequest auth. Control configured ≠ control executed on every path; fix 5.12.2 (onBadUrl fail-closed). 7 września 2026 · ~6 min czytania Czytaj wpis → Case study

Excelize: 3 KB pliku pali rdzeń przez minutę, a timeout HTTP nie zatrzyma goroutine

GHSA-jrfj-fhj2-jjvm (excelize/v2, CVSS 7.5): nieograniczony spinCount w agile decryption; kosztowny KDF biegnie przed walidacją i bez context.Context. HTTP write timeout kończy odpowiedź, ale nie obliczenie — timeout połączenia ≠ limit życia obliczenia; zasobem jest CPU, nie heap. 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

MemberDash: jeden parametr „id”, brak logowania i przejęcie administratora

CVE-2026-16310 (≤1.8.5, CVSS 9.8, unauth): IDOR — podczas rejestracji atakujący podaje arbitralny user id i zmienia hasło admina. Brak KEV to nie dowód braku exploitability; priorytet = severity + attack path + exposure + evidence + asset context, nie „not KEV = normal SLA”. 7 września 2026 · ~6 min czytania Czytaj wpis → Analiza

libheif: „security limit”, którego nie egzekwuje każda ścieżka — sygnał do variant analysis

Sześć świeżych GHSA (06.09): m.in. max_items nieegzekwowany dla iinf child boxes, unbounded iref + rekurencja, deadlock, heap OOB read. Control exists ≠ control covers every path; affectedness: component present → reachable → attacker-controlled input; Fixed vs Mitigated. 6 września 2026 · ~6 min czytania Czytaj wpis → Analiza

N-central: HF3 naprawiał auth bypass, dzień później HF4 superseduje go przez pre-auth RCE

HF3 (2026.3.1.13, CVE-2026-86206/86207) zostaje superseded przez HF4 (2026.3.1.14, CVE-2026-86218 — pre-auth RCE) w 24 h. Remediation to relacja asset↔aktualny target, nie trwała flaga przy CVE; „previously remediated → superseded target”. To nie incomplete fix. 6 września 2026 · ~7 min czytania Czytaj wpis → Analiza

Redis: publiczny rekord mówił 9.8 unauth, vendor 7.5 authenticated — provenance CVSS

CVE-2026-81934 (UAF w tlsProcessPendingData): publiczny 9.8/unauth vs vendor 7.5/authenticated (szerokie ACL, skoordynowane sesje TLS); publiczny score zrewidowano do 7.5. Przechowuj score + vector + source + timestamp + rationale; „bierz najwyższy CVSS” to słaba polityka. 6 września 2026 · ~6 min czytania Czytaj wpis → Analiza

MikroTrick: dwa CVE, aktywna eksploatacja i pełne przejęcie RouterOS

CVE-2026-67276 + CVE-2026-86060 (chain „MikroTrick”): SSH auth bypass + manipulacja policy mask → pełna sesja administracyjna bez uwierzytelnienia. CERT Polska potwierdza aktywną eksploatację od 2.09. Patch ≠ koniec incydentu; brak flagi „Flagged” to nie dowód braku kompromitacji. 6 września 2026 · ~7 min czytania Czytaj wpis → Case study

IXON VPN: trwały root/SYSTEM przez wstrzyknięcie konfiguracji — bez widocznej awarii

CVE-2026-75925 (CVSS v4 9.4): CRLF injection do pliku konfiguracyjnego konsumowanego przez uprzywilejowany subprocess → root/SYSTEM; interfejs konfiguracyjny bez uwierzytelnienia. Wstrzyknięta konfiguracja przeżywa restart, a VPN działa normalnie — patch complete ≠ compromise remediated. 6 września 2026 · ~6 min czytania Czytaj wpis → Case study

Cua: dwa niewinne defaulty składają się w unauthenticated RCE

CVE-2026-86121 (CVSS v4 9.3): brak zmiennej CONTAINER_NAME pomija authentication, a bind 0.0.0.0 wystawia usługę → unauthenticated RCE (shell, pliki, PTY). Composition failure; scanner zna wersję, nie zna env — status NOT_EXPLOITABLE_CURRENT_CONFIG zamiast FALSE_POSITIVE. 6 września 2026 · ~6 min czytania Czytaj wpis → Case study

SQL Chat: nie „tylko SSRF” — unauthenticated pivot do wewnętrznych baz

CVE-2026-86123 (CVSS v4 9.4, CWE-918): cztery unauthenticated endpointy przyjmują attacker-controlled parametry połączenia i SQL → aplikacja staje się proxy do wewnętrznych baz. „SSRF” ukrywa realny impact: database pivot omijający segmentację; egress allowlist jako compensating control. 6 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Spring SpEL: vendor mówi Medium, GHSA mówi 9.1 Critical

CVE-2026-59283: ten sam CVE oceniony przez Spring jako Medium, a przez GHSA/Ubuntu na CVSS 9.1 Critical — potencjalnie inny model attack path. Warunek: SimpleEvaluationContext + aktywny kompilator SpEL. Zachowaj provenance ocen zamiast wybierać największą liczbę. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Ubuntu: fix jest, ale tylko przez Ubuntu Pro/ESM Apps

USN-8713-1 (BioSig): poprawki dla 26.04/24.04/22.04 LTS, ale dostępne wyłącznie przez Ubuntu Pro / ESM Apps. „fix available” ≠ „fix w standardowym repo”. Remediation availability nie jest binarna; scanner zna fixed version, patch manager nie może jej pobrać. 3 września 2026 · ~4 min czytania Czytaj wpis → Analiza

Linux SCTP: LPE działa tylko, gdy cookie authentication jest wyłączone

CVE-2026-74752: przy wyłączonym cookie auth kernel błędnie waliduje pola AUTH z danych peera → OOB i primitive do local privilege escalation. Configuration-aware VM; status not_exploitable, gdy podsystem wyłączony; blacklista modułu sctp. 3 września 2026 · ~4 min czytania Czytaj wpis → Case study

Composer High 7.7: RCE tylko, gdy obok jest jeszcze `p4`

CVE-2026-84361: złośliwy Perforce source URL → klient p4 akceptuje rsh:/jsh: → local command execution. Wymaga p4 w PATH, kontroli metadata source, niestandardowego repo i source install. Exploitability zależna od narzędzia spoza dependency graph; SBOM nie wystarcza. 3 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Ubuntu naprawia bypass blokady logowania — bez CVE

USN-8688-1/2 (PAM): reset licznika nieudanych logowań (account phase bez auth phase) → obejście lockout. Advisory nie ma CVE. Vulnerability Management to nie CVE Management — trzeba ingestować vendor advisory IDs i dopuszczać findingi bez CVE. 3 września 2026 · ~4 min czytania Czytaj wpis → Analiza

Cisco Secure Email: Medium, które lokalnie boli — S/MIME i MITM

CVE-2026-20354/20355 (CVSS 5.9): MITM + niewystarczająca walidacja integralności S/MIME → odzyskanie plaintextu. Klasyfikacja danych podnosi lokalny priorytet ponad bazowe severity; jeśli S/MIME było compensating control — rewalidacja wyjątków. 3 września 2026 · ~5 min czytania Czytaj wpis → Case study

GitHub Enterprise: pre-receive hook jako SSRF-to-RCE

CVE-2026-76851: pre-receive hook mógł przekierować trusted internal requests do uprzywilejowanej usługi → RCE. Wymaga włączonego hook networking i uprawnień do modyfikacji hooka. Feature-aware affectedness; wyłączenie networking to Mitigated, nie Fixed. 3 września 2026 · ~5 min czytania Czytaj wpis → Analiza

GitHub Enterprise: RCE przez TOCTOU, a GHSA pokazuje „Unknown”

CVE-2026-19118: TOCTOU między walidacją uploadu a jego użyciem → arbitrary code execution. GitHub podał fixed builds 3.17.20–3.22.0, ale GitHub Advisory Database pokazuje Affected/Patched: Unknown. Structured record uboższy niż release notes tego samego vendora. 3 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Cisco Nexus 9000: dwa porty w domyślnym VRF do root RCE

CVE-2026-20212 (CVSS 9.8): usługa na TCP 43210/43211 w domyślnym VRF → root RCE lub crash S1HAL. Ekspozycja wynika z konfiguracji domyślnej — „vulnerable by default” zasługuje na wyższy confidence i szybszy SLA niż funkcja włączana ręcznie. 3 września 2026 · ~5 min czytania Czytaj wpis → Case study

Grafana: kolizja klucza cache loguje zwykłego usera jako Administratora

CVE-2026-14199 (CVSS 7.1): tylko self-managed z Auth Proxy + identity caching (sync_ttl>0). Klucz cache konkatenował username i atrybuty bez separatora → kolizja tożsamości → logowanie jako Administrator. Configuration-aware VM; cache key jako authorization boundary. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Apache Tika: ten sam path traversal — Local 5.9 czy Network 7.5?

CVE-2026-66755: CVE/CISA 4.0 5.9 (AV:L/AT:P), NVD 7.5 (AV:N), bazy do 8.7. Różnica to model dostarczenia pliku (lokalny zapis vs upload przez aplikację). CVSS opisuje bibliotekę albo deployment; least privilege procesu jako compensating control. 3 września 2026 · ~6 min czytania Czytaj wpis → Case study

Jenkins + Entra ID: user tworzy grupę o tej samej nazwie i przejmuje prawa

CVE-2026-84672: plugin autoryzował grupy po GUID i po display name (nieunikalny) → przejęcie permissions. Fix 711.v34046f788fd7 (tylko GUID), ale insecure compatibility flag przywraca podatny model — patched binary ≠ effective remediation. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

OpenSSH: agent „locked”, a przez forwarded connection klucze wciąż działają

CVE-2026-73281 (USN-8721-1): błędna interakcja blokady agenta z session-bind@openssh.com pozwala remote attackerowi z forwarded agent connection używać kluczy. private key stays local, BUT sign/use capability is remotely reachable; affected asset to laptop/bastion/CI. 3 września 2026 · ~5 min czytania Czytaj wpis → Analiza

GnuPG 2.9 Low: 4-bajtowy tag AES-GCM zamiast 12 — „Low” w kontroli integralności

CVE-2026-57062 (gpgsm, USN-8720-1): parser CMS AES-GCM akceptował aes-ICVlen 4 zamiast 12 → osłabienie tagu i obejście integralności. Severity ≠ wartość naruszonej security property; rewalidacja wyjątków opartych na integralności CMS/S/MIME. 3 września 2026 · ~5 min czytania Czytaj wpis → Case study

GitHub Enterprise: unauthenticated SSRF, ale HA nie jest affected

CVE-2026-18730: SSRF przez Manage API → replayable management token; HA nie affected z powodu topologii. Dwie instancje z tą samą wersją, różny status — topology-aware VM zamiast samego version match. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

PikiwiDB: requirepass włączone, ale port replikacji omija kontrolę

CVE-2026-84700 (Pika 3.5.7): requirepass sprawdzane tylko w MetaSync; dispatcher obsługuje TrySync/DBSync/BinlogSync bez auth. Kontrola na jednej ścieżce protokołu to nie kontrola na wszystkich. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Libreswan High 7.5, ale tylko FIPS + CA

CVE-2026-14957: w trybie FIPS malformed X.509 ubija pluto (DoS), ale wymaga FIPS mode i co najmniej jednego CA; PSK bez CA nie jest podatne. Configuration-aware affectedness i conditional VEX. 3 września 2026 · ~6 min czytania Czytaj wpis → Analiza

SELinux fixfiles: podatny kod od lat, a Red Hat nadal ustala affected RHEL

CVE-2026-19079 (TOCTOU między find i chcon w fixfiles): zmiana SELinux label dowolnego pliku przez symlink. Red Hat: podatny /tmp cleanup istnieje od lat, ale product analysis wciąż trwa. „Under investigation” to nie „safe” — potrzebny jawny model niepewności ze statusem i deadline. 3 września 2026 · ~6 min czytania Czytaj wpis → Case study

SonicWall SMA1000 CVSS 10: pre-auth SSRF przez „alternate access path”

CVE-2026-83548: urządzenie jako pośrednik do wrażliwej funkcji bez punktu kontroli. Boundary omija nie złamanie auth, lecz ścieżka, na której auth w ogóle nie bierze udziału; dla edge — log review i compromise assessment. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Proxmox VE: krytyczny auth bypass dostał CVE, gdy releases są EOL

CVE-2023-54391 opublikowano w NVD 01.09.2026 — affected releases (7.0–8.0) są już EOL. Publication date ≠ początek podatności; nowa wiedza o starym exposure i retroaktywny exposure assessment. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

GitHub „Affected: Unknown”, opis „through 3.6.1” — FaceFusion

CVE-2026-84702: path traversal przez nieuwierzytelnione API. GHSA publikuje Affected/Patched „Unknown”, choć opis mówi „through 3.6.1” i fix 3.7.0. False negative na poziomie ingestion structured fields. 2 września 2026 · ~5 min czytania Czytaj wpis → Case study

BookStack: po patchu vendor każe szukać „nieobrazków” w uploadach

BookStack v26.05.4 (m.in. CVE-2026-84695): stored XSS, ZIP import → RCE i inne. Patch nie usuwa historycznych artefaktów; jedna akcja deployment, wiele verification tracks; post-exploitation validation. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Go crypto/tls: KeyUpdate bez końca — DoS zależny od runtime

CVE-2026-56862: powtarzane KeyUpdate → wyczerpanie CPU. golang bywa toolchainem/build-time dep; liczy się, które uruchomione binaria zawierają podatny crypto/tls. Patch toolchaina ≠ rebuild binariów. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Dokploy: publiczny exploit, ale brak jasnej patched version

CVE-2026-82954 (Dokploy ≤ 0.29.7, path traversal): exploit publiczny, vendor milczy, brak fixed version. Public PoC ≠ observed exploitation; evidence-driven controls z deadline; vendor-risk finding. 2 września 2026 · ~5 min czytania Czytaj wpis → Case study

Keycloak 9.1: wyłącz „Forgot password” — koszt mitygacji

CVE-2026-18963: unauthenticated account takeover (także adminów). Mitigation prosta technicznie, ale kosztowna biznesowo i realm-specific. Mitigated ≠ Remediated; VM powinien śledzić business cost of mitigation. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Keycloak: metryki Prometheusa jako attack surface

CVE-2026-16100: attacker-controlled wartości w labelach → cardinality explosion → wyczerpanie pamięci. „metrics enabled” zmienia affectedness jak feature flag; limit pamięci to crash-loop, nie remediation. 2 września 2026 · ~5 min czytania Czytaj wpis → Case study

Devtron: zwykły user dostaje plaintext super-admin JWT

CVE-2026-82882 (CWE-862, Devtron ≤ 2.2.0): endpoint bez authorization zwraca super-admin JWT → platform takeover. PR:L opisuje wejście, nie władzę; credential-mediated privilege escalation; token rotation osobno. 2 września 2026 · ~8 min czytania Czytaj wpis → Case study

Hugging Face: consent check wykonany po file-write nie jest kontrolą

CVE-2026-80047 (Transformers 4.49.0–5.8.1): load_custom_generate() zapisuje zdalny kod do cache przed sprawdzeniem trust. Security decision musi poprzedzać pierwszy nieodwracalny side effect; cache jako część remediation. 2 września 2026 · ~8 min czytania Czytaj wpis → Case study

JFrog Artifactory: default-config unauth admin — 9.8 vs niski EPSS

CVE-2026-82329 (CWE-287, CVSS 9.8, EPSS ~0,377%): unauthenticated admin under default config; Canadian Cyber Centre 01.09 wskazał exploitation in the wild. Obserwacja bije predykcję; cloud vs self-hosted; supply-chain blast radius. 2 września 2026 · ~8 min czytania Czytaj wpis → Case study

PaperCut znów: KEV, publiczny exploit i Release 3

CVE-2026-81578 + CVE-2026-82078 tworzą pre-auth RCE chain. Po Release 2 przyszło Release 3 (supersedes), oba CVE w KEV i publiczny exploit (Metasploit). „Closed” musi być odwracalne; superseded remediation. 2 września 2026 · ~8 min czytania Czytaj wpis → Case study

„Upgrade: websocket” wyłącza uwierzytelnianie — RHACM

CVE-2026-71467: middleware pomija authentication przy nagłówku Upgrade: websocket; /federated dostępne pre-auth POST-em. Affectedness zależy od FEATURE_FEDERATED_SEARCH (default off w ACM, on w Global Hub). 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

svg-sanitizer: cztery advisories jednego dnia — variant analysis

Case folding, CSS injection/remote reference bypass, stored XSS przez DTD/HTML5 named refs, DoS przez DTD. Semantic equivalence across parsers; revalidacja wyjątków opartych na sanitizerze; sanitize + rasterize + CSP. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Jackson Path: skutek zależy od FileSystemProvider na classpathie

CVE-2026-19032: deserializacja Path → URI → lookup FileSystemProvider. Ta sama wersja, inna exploitability zależnie od providerów na runtime classpath; nieciągłe affected ranges; conditional VEX. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

WebKitGTK: „Affected: Unknown”, a Red Hat pokazuje ścieżki przez GNOME

CVE-2026-83596 (CVSS 8.8): GHSA bez wersji/pakietu, a Red Hat opisuje pakiety zależne (gnome-shell, yelp…) i warunek GUI + niezaufana treść. NVD/GHSA jako discovery, vendor jako operational affectedness. 2 września 2026 · ~6 min czytania Czytaj wpis → Analiza

BlueZ 7.6: „remote” kończy się na zasięgu Bluetooth i discovery

CVE-2026-80186: spreparowany EIR podczas discovery → crash bluetoothd (możliwe RCE). Affectedness zależy od sprzętu, adaptera, bluetoothd, discovery i kontekstu radiowego; AV:A ≠ automatycznie niski priorytet. 2 września 2026 · ~6 min czytania Czytaj wpis → Case study

Jedno konto cPanel do roota całego serwera

CVE-2026-65643 (domain parking): uwierzytelniony właściciel konta tworzy arbitralne pliki → code execution jako root i przejęcie wszystkich kont. W multi-tenant hostingu konto klienta jest attacker-controlled by design. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Publiczny exploit LPE, ale RHEL 6–9 nie są affected

CVE-2026-72137 (double free w xfrm): publiczny LPE exploit, ale kod od Linux 6.11 → RHEL 6/7/8/9 not affected. public exploit AND affected code AND local path; rozdziel KEV / PoC / weaponized / observed. 1 września 2026 · ~5 min czytania Czytaj wpis → Analiza

Buildah: złośliwe repo wyciąga pliki spoza build context

CVE-2026-44517 (Buildah 1.38.1–1.43.1): symlinki przy Git/tar build context lub ADD/COPY → tokeny CI, kubeconfig, cloud creds w obrazie. CVSS 6.3 nie opisuje izolacji runnera; range-aware affectedness. 1 września 2026 · ~5 min czytania Czytaj wpis → Analiza

OpenSSL: Low CVE możliwe zdalnie, ale tylko gdy używasz QUIC

CVE-2026-63075: ACK-only packets po handshake → memory growth → DoS. Miliony instalacji OpenSSL ≠ miliony podatnych usług QUIC; QUIC poza FIPS boundary; conditional VEX zależny od użycia QUIC. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Linux netfs: CVSS 9.8 vs opis o brakującym locku — jakość danych

CVE-2026-64068: Ubuntu pokazuje CVSS 3.1 9.8 (AV:N) i CVSS 4.0 7.3 (AV:L/PR:L); tylko 26.04 affected. Zachowaj provenance obu ocen, zweryfikuj attack path i commit — nie eskaluj tylko dlatego, że kolumna ma 9.8. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Apache HttpClient: dwa CVE, odwrotna affectedness

CVE-2026-64607 (classic YES/async NO) i CVE-2026-71290 (classic NO/async YES): o affectedness decyduje execution model, nie obecność httpclient5. Library present ≠ vulnerable functionality used; unsupported ≠ not affected. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Undertow: Affected, Will not fix, Fix deferred i Not affected

CVE-2026-81624 (WebSockets DoS): kluczowy jest product state. Affected ≠ „patch jest”; Will not fix ≠ false positive; Fix deferred ≠ risk accepted; Not affected + backporty. Rozdziel affectedness od remediation availability. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Zephyr: „Moderate DoS”, ale reboot w terenie

GHSA-x956-p489-8mf5: wyciek net_pkt przy IPv6 NS wyczerpuje pulę TX bez auto-recovery (wymagany reboot). CVSS nie zna kosztu recovery; attacker effort : defender recovery cost; Recovery Complexity i fleet VM. 1 września 2026 · ~5 min czytania Czytaj wpis → Analiza

cpio: flaga włączona, gwarancja ominięta przez hard-link

CVE-2026-66484: --no-absolute-filenames sanitizowało nazwę pliku, ale nie cel hard linku przed link() → escape. Nie brak kontroli, lecz niepełny coverage; control lineage i rewalidacja wyjątków opartych na fladze. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Foreman: REST API sprawdza tenant, UI nie — cross-tenant przez UI

CVE-2026-81658: user z niskimi uprawnieniami czyta historyczny template innej organizacji przez UI; REST API (authorization-aware scope) nie affected. security property tested on A ≠ guaranteed on B; historyczne sekrety jako aktywo. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Jedno CVE, wiele różnych luk — Cisco grupuje podatności według CWE

Cisco Secure Workload: wiele luk pod jednym CVE (grupowanie po CWE), a remediation obejmuje Cluster/Agent/Connector. CVE to identyfikator wiedzy, nie zawsze jednostka pracy — „vendor patched” i „customer action required” mogą być prawdziwe naraz. 1 września 2026 · ~7 min czytania Czytaj wpis → Case study

FreeRDP: CVE.org „bez uprawnień”, Red Hat „low privileges” — dwa modele zagrożenia

CVE-2026-67298 (heap overflow w server-side RAIL handler): CVE.org 7.5 PR:N, Red Hat 7.1 PR:L. Rozbieżność CVSS to różnica modeli zaufania, nie błąd. Feature exposure (server/proxy/shadow aktywne?) ważniejsze niż package presence; zachowaj oba score z provenance. 1 września 2026 · ~6 min czytania Czytaj wpis → Analiza

Keycloak: CVE istnieje tylko przy jawnie niebezpiecznej konfiguracji

CVE-2026-18569 (backchannel logout, Red Hat Low 3.7) wymaga OIDC IdP z pominiętą walidacją podpisu (non-default). not affected vs not exploitable; conditional VEX z rewalidacją po configuration drift; low CVE ujawniający ważniejszy problem hardeningu. 1 września 2026 · ~6 min czytania Czytaj wpis → Case study

CVSS 9.9, EPSS ~0,3% — OpenShift ACM i severity vs exploit probability

CVE-2026-66792 (multicloud-operators-subscription / RHACM): annotations Subscription → uprawnienia SA kontrolera → cluster-admin. CVSS 9.9, EPSS ~0,303%. CVSS i EPSS nie konkurują; global vs local probability; nie mnożyć bezmyślnie CVSS × EPSS. 1 września 2026 · ~7 min czytania Czytaj wpis → Analiza

NetworkManager podatny tylko przy niestandardowym backendzie dhclient

CVE-2026-10805 (LPE przez spreparowany MUD URL) występuje tylko w backendzie dhclient, który administrator musi jawnie skonfigurować — default nie jest affected. CVSS 6.7, EPSS ~0,152%. Configuration query jako enrichment; warunkowa suppression zamiast „false positive forever”. 1 września 2026 · ~6 min czytania Czytaj wpis → Case study

PaperCut: emergency patch, poprawka poprawki i CISA KEV

CVE-2026-81578/82078: aktywna eksploatacja, Emergency Patch Release 2 zastępujący pierwszy, regresje SAML/Card-ID i wejście do CISA KEV (31.08). Risk state jest dynamiczny — finding to zdarzenie, nie rekord; patch ≠ compromise assessment. 1 września 2026 · ~8 min czytania Czytaj wpis → Case study

pgAdmin 9.17 naprawia trzy incomplete fixy z 9.16

CVE-2026-17346/17348/17351 to incomplete fixy CVE z 9.16 (SQLi, brak @pga_login_required, read-only bypass przez lexer differential). Naprawa wystąpienia ≠ naprawa klasy błędu; remediation lineage i status REVALIDATION_REQUIRED zamiast Open/Closed. 1 września 2026 · ~8 min czytania Czytaj wpis → Analiza

Composer załatał path traversal, ale symlink i stary vendor cache ominęły fix

CVE-2026-59944: bypass poprawki przez symlink i metadane installed.json. Cache CI przechowuje security-relevant state — aktualizacja binarium (2.10.3/2.2.30) może nie wystarczyć. Historia artefaktu bywa równie ważna jak numer wersji. 1 września 2026 · ~7 min czytania Czytaj wpis → Analiza

Kontrola dostępu działała — tylko za wcześnie (AshPhoenix)

CVE-2026-82724: handle_subdomain wykonywał autoryzację, gdy tenant był jeszcze nil, bez ponowienia → cross-tenant access. To nie „brak autoryzacji”, tylko control present but executed before security context exists. Fix 2.3.25. 1 września 2026 · ~7 min czytania Czytaj wpis → Case study

Kaltura Player V2: memcache przerywa RCE chain, ale podatność zostaje

CVE-2026-19912/19913 (CERT/CC VU#308749): unsafe unserialize i niesanitizowany uiconf_id. Memcache-only blokuje etap file-write, nie usuwa root cause. „Known exploit no longer works” ≠ „root cause no longer exists”; legacy V2 vs wspierany V7; conditional risk acceptance. 1 września 2026 · ~7 min czytania Czytaj wpis → Case study

OpenSSL „załatany”, ale fix CVE-2026-75803 w ogóle nie trafił do paczki

USN-8673-1 przypadkowo pominął fix (naprawia go USN-8678-3). Administrator wdrożył właściwą aktualizację, a finding i tak powinien pozostać otwarty — version-based closure ≠ binary/behavior verification. 31 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

libssh 0.12.1 deklarował fix, którego nie zawierał

CVE-2026-59843: commit przypadkowo wykluczony, 0.12.2 (i 0.11.5) wydano jako fixup. Jak walidować remediation, gdy „fixed in” to deklaracja, a nie dowód. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

containerd jest w SBOM, ale podatny CRI nigdy się nie uruchamia

CVE-2026-53489: OpenShift używa CRI-O, a containerd to build-time dependency — podatny checkpoint-restore się nie wykonuje. Package present ≠ reachable; miejsce na VEX, nie „False Positive”. 31 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

Trzy CVSS 10.0 w ServiceNow — hosted załatani przez vendora, self-hosted działają sami

CVE-2026-18885/18886/74820: ten sam CVE, różny remediation owner zależnie od modelu wdrożenia. Bez package/version mappingu scanner sam nie rozstrzyga exposure. 31 sierpnia 2026 · ~8 min czytania Czytaj wpis → Analiza

Upstream: BIND 9.18 EOL. Ubuntu łata 9.18.39 — EOL upstreamu ≠ EOL pakietu

CVE-2026-13204: ISC oznacza gałąź 9.18 jako EOL (fix 9.20.26), a Ubuntu backportuje do 9.18.39. VE musi rozróżniać lifecycle upstreamu od lifecycle vendor package. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

OpenZFS: root-level operacje możliwe tylko przy /dev/zfs i unprivileged user namespaces

CVE-2026-79619: capability z user namespace traktowane jak host privilege. Dwa hosty z tym samym pakietem mają różną affectedness — namespace zmienia znaczenie „local privilege”. 31 sierpnia 2026 · ~8 min czytania Czytaj wpis → Analiza

libssh podatny na integralność SSH tylko z backendem OpenSSL

CVE-2026-59847: błąd EVP_DecryptFinal() degraduje AES-GCM do AES-CTR — ale tylko w buildach z OpenSSL. O exploitability decyduje, jak bibliotekę zbudowano, nie sam numer wersji. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

ABRT: najlepszą remediation nie jest patch, tylko usunięcie martwego komponentu

CVE-2026-54228 (7.8): ABRT deprecated w RHEL 8, absent w RHEL 9+. Red Hat radzi wyłączyć/usunąć. Attack surface reduction lepszy niż patch legacy albo kolejny wyjątek. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

Unbound podatny tylko przy buildzie z DoQ i aktywnym quic-port

CVE-2026-14586: sam version match nie wystarcza — trzeba znać compile-time feature (--with-libngtcp2) i runtime config (quic-port). Podatność wymaga trzech warunków naraz. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

UDisks prowadzi do roota, ale tylko gdy fstab zawiera konkretne opcje

CVE-2026-7867 (7.8): as-user w Filesystem.Mount → root, ale wymaga wpisu fstab z x-udisks-auth/user/users. Konfiguracja systemowa jako warunek exploitability, nie tło. 31 sierpnia 2026 · ~7 min czytania Czytaj wpis → Case study

MCP ma CVSS 10.0, ale GitHub pokazuje „Affected versions: Unknown”

CVE-2026-82456: high-confidence vuln (bind do wszystkich interfejsów, brak auth przy ustawionym tokenie) z niekompletnym package mappingiem. VE nie może biernie czekać, aż feed dojrzeje. 30 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

CVSS 8.8, EPSS bardzo niski, a podatność łamie granicę guest–host

CVE-2026-80724: guest podnosi RO→RW (VM_MAYWRITE) i zapisuje dane timekeeping hosta. Niski EPSS nie powinien zaniżać priorytetu, gdy potwierdzona jest krytyczna trust boundary. 30 sierpnia 2026 · ~7 min czytania Czytaj wpis → Analiza

Kernel 8.4 PR:N, ale exploit zaczyna się od kontrolowania Device Tree przy boot

CVE-2026-80723: OOB write w fdt_scan_reserved_mem(). Affected kernel nie wystarcza — VE musi ustalić, kto realnie kontroluje Device Tree używane podczas bootu. 30 sierpnia 2026 · ~7 min czytania Czytaj wpis → Case study

150 tys. downloadów, 10 złośliwych wersji w 21 minut — kiedy SCA musi pytać „czy build już wykonał malware?”

Supply-chain compromise pakietu npm @7nohe/openapi-react-query-codegen (150 tys. pobrań/tydz.) przez przejęty workflow GitHub Actions/OIDC. Dla malicious dependency „present ≠ executed”, a czysta wersja nie zamyka findingu — to już incident response, nie remediation dependency. 30 sierpnia 2026 · ~9 min czytania Czytaj wpis → Analiza

Kernel ma CVE 8.4, ale prawdziwym problemem jest to, że exec() usuwa nałożony security control

CVE-2026-80713: per-task restrictions io_uring znikały po exec() — control był, działał, ale nie przetrwał legalnego przejścia lifecycle. „Control configured” ≠ „control persistent”; remediation validation ponad version validation. 30 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

Sandbox działał — tylko dane wyrenderowano drugi raz już bez niego

CVE-2026-82447 w Skyvern: pierwszy render Jinja był sandboxed, drugi już nie — second-order template injection prowadzi do RCE. Security control może działać poprawnie na jednym etapie i zniknąć na następnym; bezpieczeństwo pipeline to właściwość całego przepływu danych. 30 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

Najpierw omijasz logowanie, potem API oddaje hasła w plaintext

Dwa CVE w rust-iot-platform: CVE-2026-82452 (auth bypass) + CVE-2026-82453 (plaintext passwords zwracane w API) = unauthenticated credential harvesting. Liczba CVE to nie liczba attack paths — CVSS się nie sumuje, ale capabilities już tak. 30 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

Critical RCE, który nie wymaga błędnej konfiguracji — bo podatne ustawienie jest w gotowym szablonie

CVE-2026-14494 w Sigma Forms Pro: unauthenticated arbitrary file upload → RCE. „Requires configuration”, ale podatny stan przychodzi z pre-built templates producenta. Nie każda precondition obniża ryzyko tak samo — „vulnerable by default”. 30 sierpnia 2026 · ~8 min czytania Czytaj wpis → Analiza

CVE przypisane do Linux kernel, a podatny kod siedzi w userspace perf

CVE-2026-80671 to „Linux kernel Critical 9.3”, ale podatny plik to tools/perf/builtin-sched.c parsujący niezaufany perf.data. Jak zła granularność produktu generuje tysiące fałszywie pilnych findingów — Product → Package → Component → Runtime → Attack Path. 30 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

Plugin płatności ma „SSRF”, a skutek to darmowe zakupy i wyciek credentiali gatewaya

CVE-2026-16947 (Total Processing for WooCommerce ≤ 7.3): unauthenticated SSRF, ale realnie payment verification bypass + gateway credential disclosure + fraud. Brak znanego fixa. CWE opisuje mechanizm błędu, nie wartość ryzyka dla firmy. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

Content editor z prawem do DataObjects kończy z RCE

CVE-2026-55634: zwykłe uprawnienie objects w Pimcore pozwala przez nazwę pola DataObject wstrzyknąć kod do generowanej klasy PHP (i do SQL DDL). PR:L nie mówi, jak potężne jest low-privilege w danym systemie. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

Masz tylko „mon allow r”, a zdobywasz SSH key do wszystkich hostów Cepha

CVE-2026-50152: read-only CephX czyta cały Monitor config-key store — w klastrach cephadm także SSH private key do wszystkich hostów. Read-only to nazwa operacji, nie poziom zaufania. Credential transitivity zamiast klasycznej eskalacji. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Analiza

12 CVE dla MCP w mniej niż 9 sekund

VulnCheck opublikował 12 CVE dla ekosystemu MCP (CVE-2026-81091…81102) w kilka sekund. Pytanie nie brzmi „czy auto-CVE są wiarygodne”, tylko czy VM potrafi ocenić provenance, aktualność i konflikty pól niezależnie od sposobu generowania danych. 29 sierpnia 2026 · ~10 min czytania Czytaj wpis → Analiza

Pięć podatności Ranchera, ale nie każda istnieje w każdej architekturze

Seria advisories Ranchera: exploitability zależy od HA, SAML, multi-cluster, RBAC i tenant modelu. Affected by version ≠ attack path exists. Dlaczego VM w cloud-native musi być topology-aware i trzymać oba stany jednocześnie. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

„Nie udało się odtworzyć, więc produkcja jest bezpieczna” — potem zaatakowano sześć sieci

Cosmos EVM: nieudana reprodukcja PoC na 18-decimal uznana za brak zagrożenia produkcji, potem ~5,7 mln USD strat. Brak reprodukcji jest wynikiem testu, nie dowodem niepodatności — rozdzielaj not_reproduced i not_affected. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

Admin aplikacji czy root serwera? Dlaczego „PR:H” nie zawsze znaczy „mało pilne”

CVE-2026-82244: admin Budibase uploaduje plugin, niesandboxowany eval() daje RCE w procesie Node.js i root w domyślnych deploymentach. „Administrator aplikacji” i „root systemu” to nie ta sama security boundary — PR:H opisuje warunek wejścia, nie przekraczaną granicę. 29 sierpnia 2026 · ~8 min czytania Czytaj wpis → Case study

Masz tylko ograniczone ssm:SendCommand, a kończysz z plikiem jako root

CVE-2026-81849: path traversal w pluginie aws:downloadContent pozwala z wąskiego uprawnienia SSM zapisać plik jako root. Least privilege to własność całego chainu identity → cloud → agent → host, nie pojedynczej IAM policy. 29 sierpnia 2026 · ~9 min czytania Czytaj wpis → Case study

Wiele Critical CVE, jeden Firebox, jedna aktualizacja — liczba podatności to nie liczba działań

WatchGuard Firebox: cztery CVE w procesie iked (dwa pre-auth RCE 9.3), 200 urządzeń, 800 findings — ale jedna remediation (upgrade Fireware). Dlaczego finding ≠ remediation action i jak konfiguracja IKEv2 definiuje realny attack surface. 28 sierpnia 2026 · ~11 min czytania Czytaj wpis → Case study

Patch zamknął CVE, ale nie cały attack primitive — Wazuh i „patched" ≠ „fixed"

CVE-2026-61800 to incomplete fix dla CVE-2026-30893: pierwsza poprawka zamknęła path traversal poza /var/ossec, ale nie autoryzację miejsca w środku. Path confinement ≠ authorization — patch lineage, re-ewaluacja populacji i trzy poziomy walidacji remediation. 28 sierpnia 2026 · ~11 min czytania Czytaj wpis → Case study

Vendor miał patch, znał CVE, a i tak został zhakowany — JetBrains Cadence i remediation failure

Mimo znanego CVE-2026-63077 w TeamCity, patcha i ostrzeżeń o atakach, jeden serwer vendora pozostał niezałatany i został przejęty. „Ticket Closed" ≠ „Risk Closed" — remediation, której nie zweryfikowaliśmy, jest tylko deklaracją. 28 sierpnia 2026 · ~13 min czytania Czytaj wpis → Analiza

Projekt praktycznie martwy, zero-click RCE nadal istnieje — kiedy EOL jest findingiem

Uptrain: cztery CVE składające się w zero-click RCE, a upstream praktycznie nie reaguje. Kiedy brak utrzymania projektu powinien sam być findingiem — operational EOL, maintainability risk i pytanie „czy ten software ma przyszłość bezpieczeństwa?". 28 sierpnia 2026 · ~12 min czytania Czytaj wpis → Case study

Dwa Critical RCE w Next.js, dwa różne problemy VM: kiedy „podatna wersja" nie oznacza jeszcze „podatnego systemu"

Jeden security release, dwa Critical RCE — ale zupełnie różne grafy exploitability. CVE-2026-75604 zależy od OS/architektury/cache, a GHSA-2xp9-vwfh-vxw4 to zależność transytywna (sharp → libheif → AVIF). Reachability, VEX i ownership zamiast czerwonej etykiety. 28 sierpnia 2026 · ~17 min czytania Czytaj wpis → Case study

Vendor mówi „DoS", badacze pokazują pre-auth RCE. Kto definiuje realną severity podatności?

CVE-2026-8452 (NetScaler): vendor opisał DoS (CVSS 8.8), watchTowr zademonstrował pre-auth RCE, NVD dał 9.8, a CISA dodała CVE do KEV. Jak modelować konflikt źródeł — severity to nie jedno pole. 28 sierpnia 2026 · ~11 min czytania Czytaj wpis → Case study

CVSS 5.3 Medium, ale CISA KEV. JFrog Artifactory pokazuje, dlaczego „Medium" może być pilniejsze niż „Critical"

CVE-2026-66384: Medium, a jednak known exploited na krytycznym elemencie software supply chain. Severity opisuje podatność, priority opisuje Twoją decyzję — Medium 5.3 i P1 mogą istnieć jednocześnie. 28 sierpnia 2026 · ~12 min czytania Czytaj wpis → Analiza

Aktywne ataki, brak CVE i brak patcha. Co ma zrobić Vulnerability Engineer z PaperCutem?

27.08.2026 PaperCut potwierdził aktywną eksploatację NG/MF — bez publicznego CVE i bez patcha, ale z mitygacją. Jak zarządzać ryzykiem, gdy CVE nie jest kluczem głównym VM: rejestracja sprawy, exposure, mitigation, IR równolegle, walidacja. 28 sierpnia 2026 · ~11 min czytania Czytaj wpis → Case study

KEV mówi: atakują. EPSS mówi: 0,356%. Któremu wskaźnikowi ma zaufać Vulnerability Engineer?

CVSS 7.0, EPSS ~0,356%, a CISA KEV = tak i potwierdzona kampania Lazarusa (CVE-2026-68820, Windows AFD). Dlaczego te wskaźniki nie przeczą sobie — odpowiadają na różne pytania — i jak łączy je Vulnerability Engineer w realnym triage. 27 sierpnia 2026 · ~15 min czytania Czytaj wpis → Analiza

Log4j2, którego nie da się ocenić samym CVSS-em. Jak powinien podejść do niego Vulnerability Engineer?

Da się zbudować RCE przez deserializację w Log4j2 (FilteredObjectInputStream + MarshalledObject), a mimo to obecność Log4j nie oznacza podatności. Component presence ≠ vulnerability presence ≠ exploitability — reachability, receiver, gadget chain, VEX i łańcuch dowodów zamiast czerwonego koloru. 27 sierpnia 2026 · ~12 min czytania Czytaj wpis →