تُرجم من الإنجليزية بواسطة TechUpscale بمساعدة الذكاء الاصطناعي، وتمت مراجعته مقابل النص الأصلي. اقرأ النص الأصلي بالإنجليزية
نشرت قاعدة بيانات الثغرات الوطنية (NVD) 19 ثغرة مصنفة على أنها حرجة بموجب نظام CVSS الإصدار 3 خلال الـ 26 ساعة التي سبقت هذا التقرير. الأوصاف أدناه مقتبسة مباشرة من NVD. الدرجات هي درجات أساسية من NVD أو CNA؛ احرص دائماً على التأكد من إشعار المورد قبل تحديد الأولويات.
الثغرات الحرجة (NVD)
| CVE | CVSS | الوصف (NVD) |
|---|---|---|
| CVE-2026-105781 | 10 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحييد غير لائق للعناصر الخاصة المستخدمة في أمر SQL (“حقن SQL”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ أوامر SQL تعسفية، مما قد يمنحه صلاحيات وصول مرتفعة أو سيطرة على حساب الضحية أو جلسته. استغلال هذه المشكلة… |
| CVE-2026-116508 | 10 | تم اكتشاف ثغرة أمنية في TOTOLINK A950RG 4.1.2cu.5268_B20221104. وتتأثر بهذه المشكلة الدالة sub_402340 في ملف infostat.cgi التابع لمكون Device-Information CGI. يؤدي التلاعب بالوسيط CONTENT_LENGTH إلى تجاوز سعة المخزن المؤقت المستند إلى المكدس. يمكن شن الهجوم عن بُعد. وقد تم نشر استغلال هذه الثغرة للعامة ويمكن استخدامها في الهجمات. |
| CVE-2026-105489 | 9.9 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحييد غير لائق للعناصر الخاصة المستخدمة في أمر SQL (“حقن SQL”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن لمهاجم منخفض الصلاحيات استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-105780 | 9.9 | تأثرت Adobe Campaign Classic (ACC) بثغرة تفويض غير صحيح قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن لمهاجم منخفض الصلاحيات استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-104351 | 9.9 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحكم غير لائق في توليد التعليمات البرمجية (“حقن الكود”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن لمهاجم منخفض الصلاحيات استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-104353 | 9.9 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحييد غير لائق للعناصر الخاصة المستخدمة في أوامر نظام التشغيل (“حقن أوامر نظام التشغيل”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن لمهاجم منخفض الصلاحيات استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-116506 | 9.9 | تم تحديد ثغرة في TOTOLINK A950RG 4.1.2cu.5268_B20221104. تتأثر الدالة apmib_set في ملف firewall.so بهذه المشكلة. يتسبب هذا التلاعب في حقن أوامر. يمكن بدء الهجوم عن بُعد. وقد تم الكشف عن استغلال هذه الثغرة للعامة ويمكن استخدامها. |
| CVE-2026-116504 | 9.9 | تم العثور على ثغرة في TOTOLINK A950RG 4.1.2cu.5268_B20221104. تؤثر هذه الثغرة على الدالة setCloudUpgradeFW في ملف lib/cste_modules/upgrade.so التابع لمكون التحديث السحابي. يؤدي التلاعب بالوسيط FileName إلى حقن أوامر. يمكن بدء الهجوم عن بُعد. وقد تم الكشف عن استغلال هذه الثغرة للعامة ويمكن استخدامها. |
| CVE-2026-117564 | 9.8 | يحتوي إصدار nest-admin الأقدم من 1.0.1 على ثغرة تجاوز مصادقة تتيح للمهاجمين غير المصادق لهم تزوير رموز المسؤولين باستخدام مفتاح سري JWT_SECRET مضمن بصيغة ثابتة في ملف .env.production. يمكن للمهاجمين توقيع الرموز بالمفتاح السري المعروف الذي تثق به JwtStrategy و RbacGuard، منتحلين شخصية أي معرف مستخدم أو مدعين دور المسؤول للحصول على صلاحيات إدارية كاملة. |
| CVE-2026-117532 | 9.8 | يحتوي نواة REDAXO من الإصدار 5.3.0 حتى ما قبل 5.21.4 على ثغرة تجاوز مصادقة في إضافات structure/history تتيح للمهاجمين غير المصادق لهم تزوير رموز تسجيل دخول مؤقتة. يمكن للمهاجمين دفع المفتاح السري المرتبط بالجلسة إلى حالة قابلة للتنبؤ وتزوير رموز لحسابات مثل حساب المسؤول، مما يمنحهم وصولاً إلى الواجهة الخلفية وتنفيذ التعليمات برمجية خارج وضع البث الحي. |
| CVE-2026-10757 | 9.8 | توجد ثغرة حقن SQL في إصدارات Esri ArcGIS Server 12.1 والإصدارات السابقة على أنظمة Windows و Linux والتي قد تسمح لمهاجم عن بُعد يمتلك صلاحيات الوصول إلى الخدمة (والذي قد يشمل – بناءً على تكوين الخدمة في إعداد وصول غير افتراضي “عام” – مهاجماً مجهول الهوية) بإصدار وظائف خاصة بقاعدة البيانات لا ينبغي السماح بها. يتم توفير تصحيح لـ ArcGIS Server بحيث… |
| CVE-2026-112346 | 9.8 | يحتوي OpenHands Software Agent SDK الأقدم من 1.52.0 على ثغرة تنفيذ تعليمات برمجية عن بُعد بدون مصادقة، حيث يقوم مشغلو مساحات العمل DockerWorkspace و Apptainer بربط خادم وكيل بيئة الاختبار بجميع واجهات الشبكة (0.0.0.0) مع قائمة مفاتيح API فارغة session_api_keys، مما يؤدي إلى تعطيل المصادقة افتراضياً. يمكن للمهاجمين الذين يمكنهم الوصول إلى منفذ الحاوية المنشور إرسال طلبات HTTP و WebSocket غير مصادق عليها لـ… |
| CVE-2026-116485 | 9.8 | يحتوي danmu_api الأقدم من 1.21.7 على ثغرة تجاوز مصادقة تتيح للمهاجمين غير المصادق لهم تعديل إعدادات بيئة الخادم عند استخدام TOKEN الافتراضي وعدم تعيين ADMIN_TOKEN. يمكن للمهاجمين إرسال طلبات POST إلى /api/env/set أو /api/env/add أو /api/env/del لتعيين ADMIN_TOKEN، وقفل المشغلين، وإعادة توجيه OTHER_SERVER أو PROXY_URL لشن هجمات SSRF، وتحفيز إعادة نشر التطبيق. |
| CVE-2026-48360 | 9.6 | تأثرت Adobe Connect بثغرة تحكم غير لائق في توليد التعليمات البرمجية (“حقن الكود”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. يتطلب استغلال هذه المشكلة تفاعل المستخدم بحيث يجب على الضحية زيارة عنوان URL مصمم بشكل خبيث أو التفاعل مع صفحة ويب مخترقة. تم تغيير نطاق التأثير… |
| CVE-2026-104350 | 9.3 | تأثرت Adobe Campaign Classic (ACC) بثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة. يمكن للمهاجم استغلال هذه الثغرة لحقن نصوص برمجية خبيثة في صفحة ويب، مما قد يمنحه صلاحيات وصول مرتفعة أو سيطرة على حساب الضحية أو جلسته. يتطلب استغلال هذه المشكلة تفاعل المستخدم بحيث يجب على الضحية زيارة عنوان URL مصمم بشكل خبيث أو التفاعل مع صفحة ويب مخترقة… |
| CVE-2026-105779 | 9.1 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحييد غير لائق للعناصر الخاصة المستخدمة في أمر SQL (“حقن SQL”) والتي قد تؤدي إلى تجاوز ميزة الأمان. يمكن لمهاجم منخفض الصلاحيات الاستفادة من هذه الثغرة لتجاوز تدابير الأمان والحصول على صلاحيات قراءة غير مصرح بها ووصول محدود للكتابة. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-104354 | 9.1 | تأثرت Adobe Campaign Classic (ACC) بثغرة تحييد غير لائق للعناصر الخاصة المستخدمة في أمر SQL (“حقن SQL”) والتي قد تؤدي إلى تنفيذ تعليمات برمجية تعسفية في سياق المستخدم الحالي. يمكن لمهاجم ذو صلاحيات عالية استغلال هذه الثغرة لتنفيذ تعليمات برمجية تعسفية. لا يتطلب استغلال هذه المشكلة تفاعل المستخدم. تم تغيير نطاق التأثير. |
| CVE-2026-116505 | 9.1 | تم العثور على ثغرة في TOTOLINK A950RG 4.1.2cu.5268_B20221104. يؤثر هذا على الدالة getDeviceInfo في ملف /var/lib/misc/udhcpd.leases التابع لمكون معالج معلومات الجهاز. يؤدي التلاعب بوسيط عنوان MAC إلى حقن أوامر. يمكن شن الهجوم عن بُعد. وقد تم نشر استغلال هذه الثغرة للعامة ويمكن استخدامها. |
| CVE-2026-116214 | 9.1 | يحتوي MacCMS v10 الأقدم من 2026.1000.4054 على ثغرة تجاوز مصادقة تتيح للمهاجمين غير المصادق لهم إعادة تعيين كلمة مرور أي عضو نظراً لأن check_msg() لا تقارن أبداً بين msg_to. يمكن للمهاجمين طلب رمز استعادة إلى صندوق البريد الخاص بهم عبر user/findpass_msg، ثم إرساله إلى user/findpass_reset باستخدام البريد الإلكتروني للضحية أو رقم هاتفه للسيطرة على الحساب. |
إشعارات جديدة من فرق الاستجابة للطوارئ والموردين
Canonical (Ubuntu)
المركز الكندي للأمن السيبراني
- [أنظمة التحكم] إشعار أمني لـ Hitachi (AV26-1091)
- [أنظمة التحكم] إشعار أمني لـ Johnson Controls (AV26-1090)
- [أنظمة التحكم] إشعار أمني لـ Moxa (AV26-1089)
- إشعار أمني لـ Esri (AV26-1088)
- إشعار أمني لـ HashiCorp (AV26-1087)
- إشعار أمني لـ Craft CMS (AV26-1086)
- إشعار أمني لـ Google (AV26-1085)
- إشعار أمني لـ Red Hat (AV26-1084)
Microsoft MSRC
- CVE-2026-69473 ثغرة رفع الصلاحيات في نواة ويندوز
- CVE-2026-69284 ثغرة رفع الصلاحيات في خادم DCOM لنظام ويندوز
- CVE-2026-70277 ثغرة الكشف عن المعلومات في برنامج تشغيل نظام ملفات Fast FAT لنظام ويندوز
- CVE-2026-70161 ثغرة رفع الصلاحيات في .NET
- CVE-2026-69926 ثغرة رفع الصلاحيات في مدير نوافذ سطح المكتب
- CVE-2026-96311 ثغرة التلاعب في خدمة قائمة شبكة ويندوز
- CVE-2026-96234 ثغرة الكشف عن المعلومات في .NET
- CVE-2026-69923 ثغرة رفع الصلاحيات في الذكاء الاصطناعي لنظام ويندوز
- CVE-2026-70338 ثغرة تجاوز ميزة الأمان في Microsoft PowerShell
- CVE-2026-70054 ثغرة رفع الصلاحيات في NetBIOS لنظام ويندوز
- CVE-2026-83519 ثغرة تنفيذ التعليمات البرمجية عن بُعد في نظام تقارير الأخطاء في ويندوز
CERT-FR
- ثغرات متعددة في GLPI (27 أكتوبر 2026)
- ثغرات متعددة في منتجات Moxa (27 أكتوبر 2026)
- ثغرات متعددة في منتجات Nextcloud (27 أكتوبر 2026)
- ثغرات متعددة في Citrix NetScaler ADC و Gateway (27 أكتوبر 2026)
- ثغرة في منتجات Palo Alto Networks (27 أكتوبر 2026)
- ثغرات متعددة في منتجات Apple (27 أكتوبر 2026)
- ثغرات متعددة في Tenable Network Monitor (27 أكتوبر 2026)
- ثغرة في خادم Mattermost (27 أكتوبر 2026)
- ثغرات متعددة في Microsoft Edge (27 أكتوبر 2026)
- ثغرات متعددة في Mozilla Firefox (27 أكتوبر 2026)
- ثغرة في Citrix XenServer (26 أكتوبر 2026)
- ثغرات متعددة في منتجات Tenable (26 أكتوبر 2026)
- ثغرات متعددة في منتجات VMware (26 أكتوبر 2026)
- ثغرات متعددة في Microsoft .Net (26 أكتوبر 2026)
- ثغرة في خادم Mattermost (26 أكتوبر 2026)
- ثغرة في منتجات Microsoft (26 أكتوبر 2026)
- ثغرات متعددة في منتجات MongoDB (26 أكتوبر 2026)
- نشرة إخبارية CERTFR-2026-ACT-045 (26 أكتوبر 2026)
- ثغرات متعددة في CPython (26 أكتوبر 2026)