Laravel auth bypass kryeson një javë me dobësi kritike në web
Laravel auth bypass është ndër çështjet më urgjente të sigurisë në web të bëra publike këtë javë. CVE-2026-114509, e vlerësuar me 9.2 në Common Vulnerability Scoring System (CVSS) me shkallë 10-pikëshe, prek komponentin e integruar të autentikimit TokenGuard të framework. Në disa konfigurime të dy serverëve të lidhur open-source për database, një credential i formuar posaçërisht, që nuk është tekst i zakonshëm, mund të bëjë që një query autentikimi të zgjedhë një përdorues të paqëllimshëm në vend që ta refuzojë kërkesën. Si pasojë, një sulmues i paautentikuar mund të hyjë në një aplikacion si një përdorues ekzistues pa e ditur API token të atij personi. Laravel e korrigjoi problemin në versionet 13.29.0 dhe 12.68.0. Operatorët e faqeve që përdorin TokenGuard duhet t'i trajtojnë përditësimet si korrigjime kundër marrjes nën kontroll të llogarive dhe jo si mirëmbajtje rutinë.
Edhe aplikacione të tjera të ekspozuara ndaj internetit morën njoftime për dobësi serioze. Mobeta raportoi se një dobësi SQL injection pa nevojë autentikimi në GLPI 11.0.8, e gjurmuar si GHSA-753w-2942-4pxm, mund të ekspozojë të gjithë database e aplikacionit. SQL injection do të thotë se input keqdashës interpretohet si komandë për database. Në varësi të versionit të prekur, aksesi mund të përparojë deri në marrjen nën kontroll të administratorit dhe remote code execution (RCE), që lejon ekzekutimin e komandave në server. GLPI 11.0.9 përmban patch. Veçmas, Rapid7 gjeti tri dobësi në Eptura Archibus: CVE-2026-107186 anashkalon autentikimin përmes një legacy API, CVE-2026-107187 lejon leximin e plotë të database dhe CVE-2026-107188 mundëson një file upload të pasigurt që mund të çojë në RCE si NT AUTHORITY/Local Service.
AegisSec Research bëri publike CVE-2026-65162, të quajtur gjithashtu ShadowForge, në NVIDIA AIStore për Linux. Dobësia me CVSS 10.0 ndodhet në një legacy ETL Kubernetes PodSpec initialization API. Kubernetes menaxhon software të paketuar në containers të izoluar dhe studiuesit thanë se kjo dobësi lejon krijimin e një privileged container, të ndjekur nga komprometimi i host bazë. Sistemet e zhvilluesve përballen me një rrugë tjetër drejt ekzekutimit të kodit përmes OpenCode në Windows dhe Windows Subsystem for Linux. Pillar Security zbuloi se një remote Model Context Protocol server i kontrolluar nga sulmuesi mund të ekzekutonte kod gjatë remote OAuth authentication pa një hap tjetër miratimi. Anomaly e korrigjoi atë dobësi në OpenCode 1.18.33. Njoftimi pasoi një komprometim të OpenCode Console, të lidhur me një sulm distillation në shkallë të gjerë që preku 1.4% të përdoruesve të Console dhe mund të ketë ekspozuar API keys të lidhura me modelet AI të Anthropic, OpenAI dhe Google.
Roundcube publikoi versionet 1.6.20 dhe 1.7.5 për të korrigjuar 20 probleme sigurie. Këto përfshijnë IMAP command injection, ku input i përgatitur posaçërisht arrin te protokolli i postës si udhëzim, një SSRF filter bypass që mund ta bëjë një server të kontaktojë destinacione të paqëllimshme, si dhe trajtim të pasigurt të attachments. Nuk është raportuar shfrytëzim i këtyre dobësive të korrigjuara të Roundcube. Chrome gjithashtu zgjeroi si standard për të gjithë përdoruesit një masë të sigurisë së transportit: browser tani kërkon leje përpara se të lidhet përmes HTTP të pakriptuar. Ky paralajmërim më parë zbatohej për personat që përdornin Enhanced Protection në Safe Browsing.
Një dobësi tjetër kritike prek thirrjet Signal në Android, iOS dhe desktop. CVE-2026-113380 ka një rezultat CVSS prej 9.3 dhe ndodhet në RingRTC, library me bazë WebRTC që përdoret për thirrjet zanore dhe video. Sipas studiuesit, një telefonues keqdashës mund ta mbingarkojë event queue të thirrjes, në mënyrë që kërkesa e viktimës për mbylljen e thirrjes të mbetet e bllokuar pas events të krijuara nga sulmuesi. Për këtë arsye, audio dhe potencialisht video mund të mbeten aktive pasi viktima përpiqet ta përfundojë thirrjen. Dobësia e raportuar tregon pse mbyllja e një elementi të interface nuk është gjithmonë e barasvlershme me ndalimin e procesit bazë.
Vjedhja e credentials dhe secrets të ekspozuara shkaktuan disa incidente të rëndësishme. Zeabur tha se sulmuesit përdorën credentials të brendshme të rrjedhura, të ruajtura si plain text, për të hyrë në një shared cluster, disa Dedicated Servers dhe sisteme të brendshme më 14 dhe 15 tetor 2026. Sulmuesit arritën te database e platformës dhe vodhën më shumë se 3.2 milionë records të environment variables, si dhe informacion për 321,810 llogari. Platforma e zhvillimit planifikon të fillojë mbylljen më 1 dhjetor dhe ta përfundojë procesin deri më 31 dhjetor 2026. Ky ishte komprometimi i dytë i Zeabur gjatë vitit, pas një incidenti në gusht që përfshiu informacione llogarish, API keys dhe secrets të tjera.
PingCAP raportoi se credentials të vjedhura të service account mundësuan akses në sistemet e brendshme nga 9 shtatori deri më 7 tetor 2026. Ndërhyrësit kopjuan source code dhe records që përmbanin emra, adresa emaili, lidhje mes organizatave dhe projekteve, tekst dhe gabime të SQL editor, kontakte klientësh, hollësi kontratash dhe porosish, çmime, kushte pagese, konfigurim faturimi dhe vlera të kriptuara të API keys. PingCAP e zbuloi aktivitetin dhe filloi çaktivizimin e credentials të prekura më 7 tetor. Andromeda identifikoi akses të paautorizuar te credentials më 13 tetor, pas një aktiviteti që beson se kishte nisur rreth 9 tetorit. Ajo çaktivizoi llogaritë e komprometuara, njoftoi klientët që i konsideroi të prekur dhe tha se nuk gjeti prova që ishte aksesuar ndonjë model, dataset ose e dhënë trajnimi e klientëve. Genesys gjithashtu njoftoi akses të paautorizuar në sistemet e brendshme të menaxhimit të marrëdhënieve me klientët dhe të mësimit. Informacionet e biznesit dhe të llogarive u aksesuan ose u shkarkuan, por kompania tha se platformat e saj Genesys Cloud, Genesys Engage dhe Genesys Engage Cloud nuk u komprometuan.
Phishing mbetet një mënyrë efektive për të anashkaluar edhe kontrolle të forta të llogarive. Bluesky tha se më shumë se 4,500 llogari u komprometuan përmes postimeve që reklamonin një pagesë të rreme qeveritare; kompania i pezulloi përkohësisht llogaritë e prekura ndërsa punonte për të rikthyer aksesin. Dataminr identifikoi portale të rreme Okta dhe ServiceNow në riskified-okta[.]com dhe shipmonk-servicenow[.]com, të cilat shënjestronin ofruesit e software për tregti elektronike. Faqet tentonin një MFA downgrade, që do të thotë se përdoruesit e multi-factor authentication (MFA) me bazë hardware shtyheshin drejt metodave më të dobëta fallback, si kodet me mesazh tekst ose email, kur politika e llogarisë i lejonte. Singapore Police raportoi gjithashtu të paktën 62 raste mashtrimi me Android malware që nga prilli 2026, me humbje prej S$989,000. Viktimat drejtoheshin nga reklamat në rrjete sociale për të instaluar një skedar Android Package Kit (APK), përpara se telefonues që hiqeshin si zyrtarë ose punonjës bankash t'u kërkonin para, hollësi bankare, informacione personale ose sende me vlerë.
Aksesi i zhvillimit i lidhur me AI krijon rreziqe shtesë kur permissions janë të gjera. Një studiues demonstroi se udhëzime të fshehura në një public repository të kontrolluar nga sulmuesi mund të manipulonin GitHub Connector të ChatGPT gjatë një deployment review. Me permission standard për all repositories, connector mund të shkruante një GitHub Actions workflow në një private repository tjetër, ku kodi i automatizuar mund të aksesonte dhe transmetonte secrets të ruajtura. Sulmi nuk kërkonte as akses në repository të viktimës dhe as një dokument keqdashës të ngarkuar.