تُرجم من الإنجليزية بواسطة TechUpscale بمساعدة الذكاء الاصطناعي، وتمت مراجعته مقابل النص الأصلي. اقرأ النص الأصلي بالإنجليزية
نشر قاعدة بيانات الثغرات الوطنية (NVD) 5 ثغرات مصنفة على أنها حرجة بموجب نظام التقييم (CVSS v3) خلال الساعات الـ 26 التي سبقت هذا التقرير. الأوصاف أدناه مقتبسة مباشرة من قاعدة بيانات (NVD). النتائج هي درجات أساسية من (NVD) أو (CNA)؛ يرجى دائماً التأكد من استشارية المطور قبل تحديد الأولويات.
الثغرات الحرجة (NVD)
| CVE | CVSS | الوصف (NVD) |
|---|---|---|
| CVE-2026-107622 | 9.8 | إضافة BuddyForms لبرنامج ووردبريس (WordPress) معرضة لخطر تصعيد الصلاحيات في جميع الإصدارات حتى الإصدار 2.10.5 ضمناً عبر هجوم خلط نوع النموذج من خلال معلمة `bf_post_type`. يرجع هذا إلى معالج الإرسال العام في الواجهة الأمامية `buddyforms_form_response_no_ajax()` الذي يمنح الصلاحيات لعمليات الإرسال للمستخدمين غير المسجلين بناءً فقط على علامة `public_submit` الخاصة بالنموذج المستهدف مع الوثوق بشكل مستقل في المعلمة التي يحددها المهاجم… |
| CVE-2026-119757 | 9.8 | يحتوي خادم BTCPay Server قبل الإصدار 2.4.2، بما في ذلك المرشحون للإصدار 2.4.2، على ثغرة الكشف عن المعلومات التي تسمح للمهاجمين البعيدين غير المصدقين استرجاع ملفات بيانات الاعتماد .macaroon الخاصة بعقدة LND (Lightning Network Daemon). يمكن للمهاجمين استخدام ملف macaroon المكشوف للحصول على السيطرة الكاملة على عقدة LND، بما في ذلك نقل الأموال، مما يؤدي إلى سرقة الأموال من عمليات التثبيت المتأثرة. |
| CVE-2026-123198 | 9.8 | يحتوي LMFDB قبل الالتزام 01829bd على ثغرة حقن قوالب من جانب الخادم في وظيفة render_knowl والتي تسمح للمهاجمين غير المصدقين حقن تعبيرات Jinja عبر معاملات الطلب. يمكن للمهاجمين توفير قيم سلسلة الاستعلام المصممة أو بيانات 'content' إلى /knowledge/render/<ID> للوصول إلى وظائف Python المضمنة وتنفيذ أوامر نظام التشغيل بحساب تطبيق الويب. |
| CVE-2026-114630 | 9.1 | إضافة ELEX WordPress HelpDesk & Customer Ticketing System لبرنامج ووردبريس (WordPress) معرضة لحذف الملفات التعسفية بسبب التحقق غير الكافي من مسار الملف في وظيفة factory_reset في جميع الإصدارات حتى الإصدار 3.3.8 ضمناً. هذا يجعل من الممكن للمهاجمين غير المصدقين حذف ملفات تعسفية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ التعليمات البرمجية عن بُعد عند حذف الملف الصحيح (مثل wp-co…) |
| CVE-2026-117691 | 9.1 | تم العثور على خلل في تنفيذ ربط SAML HTTP-Redirect لبرنامج Keycloak. تحدث المشكلة لأن الخادم يعالج أسماء المعاملات المشفرة بالنسب المئوية (مثل %53AMLResponse) بينما تحقق منطق التحقق من صحة التوقيع فقط من أسماء المعاملات الحرفية. يمكن للمهاجم استخدام هذا التناقض لتوفير رسالة SAML مصممة وغير موقعة يعالجها الخادم بدلاً من رسالة موقعة بشكل شرعي، مما يؤدي إلى الوصول الكامل… |
تحذيرات جديدة من فرق الاستجابة للطوارئ والمطورين
كانونيكال (أبونتو)
- USN-9003-1: ثغرات نواة لينكس (NVIDIA)
- USN-9002-1: ثغرات نواة لينكس (NVIDIA Tegra)
- USN-9001-1: تحديث شهادات ca-certificates
- USN-8955-2: ثغرات خادم nginx
- USN-7230-3: تراجع FRR
- USN-8972-2: تراجع HAProxy
المركز الكندي للأمن السيبراني
- إشعار أمان OpenBSD (AV26-1130)
- إشعار أمان Rubyonrails (AV26-1129)
CERT-FR
- Multiples vulnérabilités dans les produits Siemens (05 novembre 2026)
- Multiples vulnérabilités dans les produits Cisco (05 novembre 2026)
- Vulnérabilité dans OpenSSH (05 novembre 2026)
- Multiples vulnérabilités dans OpenOffice (05 novembre 2026)
- Multiples vulnérabilités dans SPIP (05 novembre 2026)
- Multiples vulnérabilités dans MongoDB (05 novembre 2026)
- Multiples vulnérabilités dans Microsoft Edge (05 novembre 2026)
- Vulnérabilité dans OpenSSH (05 novembre 2026)