Hírolvasó

Overview

PrestaShop's back-office Performance > Debug mode functionality contains a PHP code injection vulnerability. An authenticated attacker with permission to modify debug-mode configuration can submit crafted cookie configuration values that are written into an executable PHP configuration file. Successful exploitation could allow arbitrary code execution with the privileges of the PHP process.

Description

PrestaShop is an open-source e-commerce platform for creating and managing online stores. Its back-office Performance configuration includes a Debug mode for developers, which is enabled based on a specified cookie name and value.

PrestaShop's debug-mode configuration code inserts the user-controlled values debug_cookie_name and debug_cookie_value into a PHP expression without adequately escaping or sanitizing them for use in PHP source code. The application writes this expression into the PHP define() statement in config/defines.inc.php or config/defines_custom.inc.php. A crafted value can terminate the intended string and introduce attacker-controlled PHP statements. The modified configuration file is loaded during application initialization, causing the injected code to execute on a subsequent request.

Exploitation requires an authenticated back-office account with permission to modify debug mode settings and a configuration file writable by the PHP process. Root or operating-system administrator privileges are not required. Cross-site request forgery (CSRF) protection helps prevent unauthorized requests made through another user's session, but does not prevent exploitation by an attacker controlling an account with the required permissions. Injected code executes with the privileges of the PHP process. Affected release versions remain to be confirmed.

Impact

An authenticated attacker with the required configuration permissions could execute arbitrary PHP code in the security context of the PHP process. This could allow access to application secrets and customer data, modification or deletion of application files and database contents, and disruption of store operations. Operating-system command execution depends on the PHP configuration and available functions. The vulnerability does not independently grant root privileges.

Solution

PrestaShop version 9.2.1 addresses this vulnerability. Administrators should upgrade affected installations to version 9.2.1 or later.
If an immediate upgrade is not possible, allow only trusted administrators to modify Performance and Debug mode settings, and restrict network access to the back office. Where operationally feasible, prevent the PHP process from writing to config/defines.inc.php and config/defines_custom.inc.php. This may also prevent legitimate configuration changes.

Acknowledgements

Thanks to Deflask13 for reporting this vulnerability. This document was written by Michael Bragg.

Előző hét pénteken sürgősségi kiberbiztonsági intézkedési csomagot jelentettek be Japánban, miután nagyszabású adatszivárgási hullám söpört végig az ország nagyvállalatainál és kormányzati szervezeteinél.

Backdoorokat, infostealereket és egyéb rosszindulatú programokat telepítenek a GitHub-on terjedő hamis biztonsági projektekkel. Ezúttal a kiberbiztonsági szakembereket vették célba a támadók.

A héten a fejlesztői eszközök és a készülékgyártók ellátási láncát, valamint a pénzügyi szolgáltatásokat érintő incidensek kerültek előtérbe. A kihasznált kriptofizetési hibák mellett botnetek és AI-val támogatott behatolások is előtérbe kerültek.

Az elmúlt hetekben több száz európai szupermarket hűtőrendszerét érte kibertámadás, amelynek során a támadók távolról módosították a berendezések hőmérsékleti beállításait.

A francia Nemzeti Vérellátó Szolgálat (Établissement français du sang – EFS) november 3-án közzétett nyilatkozatában megerősítette, hogy egy, a hűtőberendezéseket célzó kibertámadás következményében három létesítményükben is módosultak a hőmérsékleti beállítások, ami veszélyeztette a tartalék vérkészítményeket.

A Sekoia vizsgálata egy kiterjedt, mobileszközöket célzó „watering hole” kampányt ír le. A módszer lényege, hogy a támadók olyan weboldalakat fertőznek meg, amelyeket a kiszemelt emberek várhatóan meglátogatnak.

A Barracuda Networks két súlyos sérülékenységet javított hálózati biztonsági termékeiben, amelyek együttes kihasználásával akár teljes, root szintű hozzáférés is szerezhető az érintett eszközök felett.

A Binance szerint észak-koreai hackerek egy látszólag ártalmatlan állásinterjún keresztül juttattak kártékony szoftvert egy munkatárs gépére, majd onnan jutottak el a tőzsde wallet infrastruktúrájáig.

A Google hétfőn új biztonsági frissítéseket adott ki az Android rendszerhez, amelyben több mint 200 sérülékenység került javításra, beleértve számos kritikus súlyosságú hibát. A javítások első része a 2026-11-01-es biztonsági javítási szinttel érkezik az eszközökre és 119 hibát orvosol, főként az Android futtatókörnyezetben (runtime), a Framework és a System összetevőiben. A legtöbb javítás (65 db) […]

A német Szövetségi Kiberbiztonsági Hivatal (BSI) hétvégén adott ki közleményt arra vonatkozóan, hogy politikusok és egyéb közéleti szereplők kerülhettek az állami támogatású kémprogram-támadások kereszttüzébe. A figyelmeztetést azután adta ki a BSI, hogy az Apple értesítéseket jelenített meg az esetlegesen érintett felhasználóknak arról, hogy iPhone eszközeiket feltörhették. Stefan Kornelius német kormányszóvivő kijelentette, hogy a berlini kormány […]

Overview

Multiple vulnerabilities have been identified in the Android application, BaseChat – Audio Dating App, version 9.8.1, which ultimately compromise the privacy of users’ personal data and activity.

Description

BaseChat is an online dating platform built in Flutter and targeted toward users over 18. It facilitates anonymous, voice-first interaction between users. Three distinct vulnerabilities have been identified within the shipped Android application.
VU#124705.1: The application fails open when validating TLS server certificates for connections to its backend API host. The application allows any self-signed certificate to bypass standard TLS security checks.
VU#124705.2: Paid user accounts are mapped to a third-party RevenueCat subscriber database using raw MSISDNs (phone numbers), which are a guessable public identifier. Because the RevenueCat Software Development Kit (SDK) includes a public API key within the application’s Android Package Kit (APK), an attacker can query the RevenueCat’s API using predictable identifiers to retrieve individual user metadata.
VU#124705.3: The application writes Personally Identifiable Information (PII) to Android system logs in its production build. During voice calls, the application logs the remote party’s MSISDN through unstripped debug statements, which allows an attacker to recovery phone numbers of callers who are intended to remain anonymous.

Impact

Impacts of successful exploitation vary by vulnerability.
VU#124705.1: A network-positioned attacker can intercept and modify API communication, potentially leading to account takeover via session credential theft.
VU#124705.2: An attacker can locate the public RevenueCat SDK key and query the RevenueCat API using arbitrary phone numbers to retrieve associated user metadata, including activity and purchase history.
VU#124705.3: The personal data, or PII, of other users, intended to be anonymous, can be accessed through local system logs. The application’s backend sending other users’ MSISDNs to the client in any capacity presents a privacy violation.
These vulnerabilities have been confirmed against Basechat – Audio Dating App, Android version 9.8.1.

Solution

Unfortunately, Mobile Trading GmbH, the owners of BaseChat, could not be reached to coordinate this vulnerability.

Acknowledgements

Thanks to Mahmoud Ali Khan for reporting these vulnerabilities. This document was written by Alex Lewis.

A Synology a C3RB3R zsarolóvírussal végrehajtott támadások megszaporodása miatt arra figyelmezteti ügyfeleit, hogy haladéktalanul frissítsék hálózati adattárolóikat.

Egy újonnan nyilvánosságra hozott, működő proof of concept (PoC) azt demonstrálja, hogyan lehet egy speciálisan kialakított SMS-sel összeomlasztani vagy átmenetileg elérhetetlenné tenni egy sebezhető Android telefon mobilhálózati szolgáltatásait.

Eddig összesen hét ország, köztük Belgium, Észtország, Írország, Finnország, Luxemburg, Hollandia és Svédország kiskereskedelmi egységei számoltak be arról, hogy az egyik éjszaka folyamán megemelkedtek a hőtőberendezések hőmérsékletei.

Az Egyesült Államok Belbiztonsági Minisztériumát (DHS) érintő korábbi adatszivárgás során több ezer alkalmazottjának személyes adata került nyilvánosan elérhetővé az interneten.

Overview

INFINITT PACS installations using System Manager versions 3.0.11.3 and 3.0.11.5 contain vulnerabilities that may allow an attacker to execute arbitrary code. INFINITT Healthcare has remediated the issues in System Manager versions 3.0.12.3 and 3.0.12.5.

Description

INFINITT PACS is an enterprise web-based medical imaging platform that stores, retrieves, and displays patient scans.

CVE-2026-16305
An improperly protected update manifest may allow a local attacker to execute commands with administrative privileges when an update is approved.
SmartExecute.exe reads and runs commands from execlist.txt after an update. Because of insecure file permissions on execlist.txt, a low-privileged attacker can modify the file before it is processed to add arbitrary malicious commands. After SmartUpdate.exe launches, it runs SmartExecute.exe and the user can be prompted by User Account Control (UAC), which can allow the malicious command to execute with administrative privileges.

CVE-2026-16306
An unsafe command dispatch through the registered imodular:// URI scheme may result in code execution.
A vulnerability in IModular.exe allows an attacker to execute certain application functions by supplying a crafted imodular:// link. The application reads the cmd value from the link and executes the corresponding function without verifying that the command is permitted or safe. By convincing an end user to open a crafted imodular:// link, an attacker can cause IModular.exe to access attacker-controlled files or run specific programs from a local folder or network share. The link also accepts a url parameter that causes IModular.exe to connect to an attacker-controlled SignalR endpoint, creating an unauthorized outbound connection.

Impact

Successful exploitation of CVE-2026-16305 may allow a local, low-privileged attacker to execute arbitrary commands with administrative privileges on the affected workstation. An attacker could then install or modify software, access protected files, disable security controls, or establish persistent access to the system.
Successful exploitation of CVE-2026-16306 may allow a remote attacker to execute code with the privileges of the affected user, access or modify data available to that user, and use the compromised workstation as a foothold for further attacks. The vulnerability may allow unauthorized outbound communication with an attacker-controlled SignalR server, potentially exposing sensitive information or enabling additional malicious activity.

Solution

There are no indications that these vulnerabilities have been exploited. INFINITT Healthcare recommends upgrading affected installations to one of the following fixed System Manager versions:

• System Manager 3.0.12.3
• System Manager 3.0.12.5

Organizations should apply the appropriate update as soon as operationally feasible.

Acknowledgements

Thanks to Piotr Berlinski from CyberArms.io for identifying these vulnerabilities, and to INFINITT for quickly addressing the problems. This document was written by Michael Bragg.

2026. október 29-én mintegy 6,36 milliárd dollár értékű kriptoeszközt loptak el a Binance tárcáiból. A tíz blokkláncot érintő támadás legnagyobb része körülbelül húsz perc alatt zajlott le.

Heti kitekintő: A heti válogatásban a hálózati peremeszközök kihasználása és az AI támadói felhasználása kap kiemelt szerepet. A Cisco egy aktívan kihasznált SSL VPN-hibát javított, a Dream pedig olyan támadási láncot tárt fel, amely PAN-OS-tűzfalakról az Active Directory felderítéséig vezetett. Az AI többféle szerepben jelenik meg: eszközfejlesztési segítségként, művelettervezőként és autonóm végrehajtóként. A szolgáltatói incidensek adatlopást és közszolgáltatási kiesést is okoztak.

Moldova jelentős kiberbiztonsági incidenssel néz szembe, miután október 19. és 23. között támadók állami digitális szolgáltatások sebezhetőségeit kihasználva nagy mennyiségű személyes adatot próbáltak megszerezni.