Hírolvasó

A Huntress biztonsági cég szerint a kiberbűnözők továbbra is aktívan kihasználják a Microsoft Defender nemrég nyilvánosságra hozott három hibáját, amelyek kihasználása jogosultság eszkalálást tesz lehetővé a támadók számára. A támadási folyamat három, a BlueHammer, a RedSun és az UnDefend nulladik napi sérülékenységek együttes kihasználását foglalja magában. Míg az első kettő egy helyi jogosultság-eszkalációs (LPE) hiba, […]

A francia belügyminisztérium 2026. április 20-án közölte, hogy az Agence nationale des titres sécurisés (ANTS), vagyis a biztonságos okmányokért felelős nemzeti ügynökség 2026. április 15-én biztonsági incidenst észlelt az ants[.]gouv[.]fr portálon. A közlemény alapján érintett lehetett a bejelentkezési azonosító, a megszólítás, a név, a keresztnevek, az e-mail-cím, a születési dátum és az egyedi fiókazonosító. Egyes […]

Kiberbiztonsági incidens érte a Vercel webinfrastruktúra-szolgáltatót, amely során a támadók jogosulatlan hozzáférést szereztek a vállalat egyes belső rendszereihez. A vizsgálatok szerint az incidens kiváltó oka a vállalat egyik alkalmazottja által használt, harmadik féltől származó mesterséges intelligencia eszköz, a Context.ai kompromittálódása volt. A Vercel tájékoztatása alapján a Context.ai rendszerének feltörése lehetővé tette, hogy a támadók az […]

Overview

Radware Alteon has a reflected Cross-Site Scripting (XSS) vulnerability in the parameter ReturnTo of the route /protected/login. This vulnerability allows an attacker to execute JavaScript in the host browser.

Description

CVE-2026-5754: Reflected Cross-Site Scripting (XSS) vulnerability in Radware Alteon 34.5.4.0 vADC load-balancer allows an attacker to inject malicious scripts into the website, potentially leading to unauthorized actions, data theft, or other malicious activities.

A reflected Cross-Site Scripting (XSS) vulnerability exists in the ReturnTo parameter of the /protected/login route in Radware Alteon version 34.5.4.0. The vulnerability arises from the lack of user input sanitization, allowing an attacker to inject malicious scripts. Specifically, when a user requests a resource that redirects to a Microsoft SAML login page, the load-balancer redirects the user to the login page with a ReturnTo parameter that fails to sanitize user input. An attacker can exploit this by injecting a malicious payload in the ReturnTo parameter, which will be executed in the victim's browser.

An example attack flow is below:

1. Attacker creates link with XSS payload in ReturnTo parameter.
2. Victim clicks malicious link, redirecting to login page.
3. Load-balancer reflects malicious ReturnTo parameter, executing XSS payload.
4. Attacker performs JavaScript code execution in the victim's browser.

Impact

The impact of this vulnerability is significant, as it allows an attacker to execute arbitrary JavaScript code in a victim’s browser. Doing so enables a range of harmful activities, including the following: stealing session cookies and sensitive data; performing unauthorized actions on behalf of the victim; tricking users into falling for phishing attacks; and damaging a website’s reputation and user trust.

Solution

Unfortunately, we were unable to reach the vendor to coordinate this vulnerability. The vendor, Radware, has acknowledged the vulnerability in their customer portal and plans to patch it in the next version, 34.5.7.0. This version was expected to be released on March 31st, 2026, based upon the release notes, but it is unclear if this release occurred and included a fix. In the meantime, users are advised to take precautions to prevent exploitation, such as validating and encoding user input.

Acknowledgements

Thanks to the reporter, Loinaz Merino Cerrajeria, for bringing this vulnerability to our attention.This document was written by Timur Snoke.

Overview

Terrarium is a sandbox-based code execution platform that enables users to run and execute code in a controlled environment, providing a secure way to test and validate code. However, a vulnerability has been discovered in Terrarium that allows arbitrary code execution with root privileges on the host Node.js process. This vulnerability is caused by a JavaScript prototype chain traversal in the Pyodide WebAssembly environment.

Description

The root cause of the vulnerability lies in the configuration of jsglobals objects in service.ts. Specifically, the mock document object is created using a standard JavaScript object literal, which inherits properties from Object.prototype. This inheritance chain allows sandbox code to traverse up to the function constructor, create a function that returns globalThis, and from there access Node.js internals, including require(). As a result, an attacker can escape the sandbox and execute arbitrary system commands as root within the container.

CVE-2026-5752 Sandbox Escape Vulnerability in Terrarium allows arbitrary code execution with root privileges on a host process via JavaScript prototype chain traversal.

Impact

Applications that use Terrarium for sandboxed code execution may be compromised, allowing an attacker to:

• Execute arbitrary commands as root inside the container
• Access and modify sensitive files, including /etc/passwd and environment variables
• Reach other services on the container's network, including databases and internal APIs
• Potentially escape the container and escalate privileges further

Mitigation

Unfortunately, we were unable to coordinate with the vendor to obtain a patch or fix for this vulnerability. In the meantime, several mitigation strategies can be employed to reduce the risk of exploitation. Users should consider implementing the following measures:

• Disable unnecessary features: Disable any features that allow users to submit code to the sandbox, if possible.
• Implement network segmentation: Segment the network to limit the attack surface and prevent lateral movement.
• Use a Web Application Firewall (WAF): Deploy a WAF to detect and block suspicious traffic, including attempts to exploit the vulnerability.
• Monitor container activity: Regularly monitor container activity for signs of suspicious behavior.
• Implement access controls: Limit access to the container and its resources to authorized personnel only.
• Use a secure container orchestration tool: Utilize a secure container orchestration tool to manage and secure containers.
• Regularly update and patch dependencies: Ensure that dependencies are up-to-date and patched.

Acknowledgments

The vulnerability was discovered by Jeremy Brown, who used AI-assisted vulnerability research to identify the issue. This document was written by Timur Snoke with assistance from AI.

Overview

A remote code execution vulnerability has been discovered in the SGLang project, specifically in the reranking endpoint (/v1/rerank). A CVE has been assigned to track the vulnerability; CVE-2026-5760. An attacker can create a malicious model for SGLang to achieve RCE. Successful exploitation could allow arbitrary code execution in the context of the SGLang service, potentially leading to host compromise, lateral movement, data exfiltration, or denial-of-service (DoS) attacks. No response was obtained from the project maintainers during coordination.

Description

SGLang is an open-source framework for serving large language models (LLMs) and multimodal AI models, supporting models such as Qwen, DeepSeek, Mistral, and Skywork, and is compatible with OpenAI APIs. A vulnerability, tracked as CVE-2026-5760, has been discovered within the reranking endpoints. Using a cross-encoder model, the reranking endpoint reranks documents based on their relevance to a query.

An attacker exploits this vulnerability by creating a malicious GPT Generated Unified Format (GGUF) model file with a crafted tokenizer.chat_template parameter that contains a Jinja2 server-side template injection (SSTI) payload with a trigger phrase to activate the vulnerable code path. A tokenizer.chat_template is a metadata field that defines how text is structured before being processed. The victim then downloads and loads the model in SGLang, and when a request hits the /v1/rerank endpoint, the malicious template is rendered, executing the attacker's arbitrary Python code on the server. This sequence of events enables the attacker to achieve remote code execution (RCE) on the SGLang server.

The vulnerability arises from the use of jinja2.Environment() without sandboxing in the getjinjaenv() function. This function sets up the environment for rendering Jinja2 templates, but since it lacks proper sandboxing, it fails to restrict the execution of arbitrary Python code. Consequently, when the reranking endpoint is accessed and a malicious model file containing a crafted tokenizer.chattemplate is loaded, the model can execute arbitrary commands on the server.

Impact

An attacker can create a malicious model for SGLang to achieve RCE. Successful exploitation could allow arbitrary code execution in the context of the SGLang service, potentially leading to host compromise, lateral movement, data exfiltration, or denial-of-service (DoS) attacks. Deployments that expose the affected interface to untrusted networks are at the highest risk of exploitation.

Solution

To mitigate this vulnerability, it is recommended to use ImmutableSandboxedEnvironment instead of jinja2.Environment() to render the chat templates. This will prevent the execution of arbitrary Python code on the server. No response or patch was obtained during the coordination process.

Acknowledgements

Thanks to the reporter, Stuart Beck. This document was written by Christopher Cullen.

A Nemzeti Szabványügyi és Technológiai Intézethez (NIST) évről-évre egyre nagyobb mennyiségben érkeznek be újonnan felfedezett sérülékenységek, ezért a nagy leterheltség miatt az Intézet úgy döntött, hogy április 15-től nem végez saját elemzést és súlyossági besorolást az alacsony prioritású sérülékenységek esetén. A Nemzeti Sebezhetőség Adatbázis (NVD) továbbra is listázni fog minden bejelentett sérülékenységet, viszont az alacsony […]

Több mint 30 népszerű WordPress-bővítménybe rejtett backdoor révén szereztek jogosulatlan hozzáférést támadók.

A CVE-2026-33032 azonosítójú sérülékenység az Nginx UI nevű, NGINX kiszolgálók webes menedzsmentjére használt felületét érinti, nem pedig magát a hivatalos NGINX webszervert. A hiba jelentőségét az adja, hogy a nyilvános beszámolók szerint már aktív kihasználás alatt áll, tehát nem pusztán egy laboratóriumi vagy elméleti problémáról van szó. A technikai probléma az Nginx UI MCP integrációjához […]

A Chrome jelenleg nem nyújt érdemi védelmet az egyik legalapvetőbb és legelterjedtebb online követési módszerrel, az úgynevezett browser fingerprintinggel szemben.

A Microsoft új védelmi funkciót vezet be a Windows rendszerben az RDP fájlokkal visszaélő adathalász támadások ellen, így a figyelmeztetések mellett, alapértelmezetten tiltásra kerülnek a kockázatosnak tűnő megosztott erőforrások. Az RDP fájlokat gyakran használják vállalati környezetben távoli rendszerekhez való csatlakozáshoz, mivel a rendszergazdák előre konfigurálják azokat, hogy automatikusan átirányítsák a helyi erőforrásokat egy távoli gépre. […]

A Storm-2755 néven azonosított pénzügyi motivációjú kiberbűnözői csoport kanadai munkavállalók fizetéseit veszi célba. A támadások az úgynevezett „payroll pirate” módszerre épülnek, amely során a támadók vállalati fiókok kompromittálása után a munkabér utalási adatait manipulálva eltérítik a kifizetéseket. A támadási lánc (1. ábra) első szakaszában a támadók rosszindulatú Microsoft 365 bejelentkezési oldalakat használtak, amelyek SEO poisoning […]

A BrowserGate komoly vádakkal illeti a LinkedIn-t, egy nemrég publikált cikke szerint ugyanis profilalkotási célból tömeges adatgyűjtést végez a platform felhasználóiról, beleértve az eszközökre és az ujjlenyomatokra vonatkozó információkat. A BrowserGate jelentés a magára Fairlinked néven hivatkozó civil szervezet cikkére utal, amely az alábbi linken érhető el. A publikációban azzal vádolják a LinkedIn-t, hogy egy […]

A Google bejelentette, hogy új védelmi funkciót vezet be a Chrome böngészőbe, amivel jelentősen megnehezíti, hogy az ellopott munkamenet sütikkel (session cookie) feltörhessék a felhasználói fiókokat. A támadók különféle rosszindulatú programmal hozzáférhetnek a felhasználók eszközein tárolt munkamenet sütikhez, amelyek segítségével képesek megkerülni a hagyományos védelmi mechanizmusokat és hozzáférni a felhasználói fiókokhoz. A Device Bound Session […]

Kép forrása: (Bleepingcomputer.com) Ezúttal a Booking.com felhasználói- és foglalási adatai kerültek kiberbünözők kezére egy adatvédelmi incidens miatt. A vállalat azonnali intézkedésként visszaállította a PIN-kódokat a már meglévő foglalásoknál és tájékoztatta az érintett felhasználókat az esetről. A Booking.com a világ egyik legnagyobb online utazási platformja, amely lehetővé teszi a felhasználók számára a szállások, repülőjegyek, bérautók, taxik […]

A Google múlt héten jelentette be, hogy a Gmail alkalmazáson keresztül mostantól mobileszközön is olvashatóvá válnak a végponttól végpontig titkosított (E2EE) e-mailek az üzleti felhasználók számára. A funkció minden kliens oldali titkosítást (CSE) alkalmazó felhasználó számára elérhető, akik Enterprise Plus licenccel és Assured Controls vagy Assured Controls Plus bővítménnyel rendelkeznek. Ehhez a rendszergazdáknak engedélyezniük kell […]

Egy összehangolt nemzetközi bűnüldözési akció keretében több mint 20 000 kriptovaluta-csalás (cryptocurrency fraud) áldozatát azonosították Kanadában, az Egyesült Királyságban és az Egyesült Államokban. A műveletet az Egyesült Királyság Nemzeti Bűnüldözési Ügynöksége (U.K.’s National Crime Agency, NCA) vezette. Az „Operation Atlantic” nevű akcióra a közelmúltban került sor, melyben az NCA mellett részt vett az Egyesült Államok […]

Új malware kampány indult a híres Silver Fox APT nevéhez köthetően, mely során hamis Telegram kínai nyelvcsomag telepítőbe rejtettek ValleyRAT trójai vírust. A rosszindulatú szoftver egy átlagos MSI telepítőnek volt álcázva, és először 2026 április 8-án jelent meg a MalwareBazaar nevű oldalon. A legújabb támadássorozat során egy olyan mindennapi konfigurációs fájlban rejtették el a malwaret, […]

2026. április 9-én nyilvánosságra került, hogy egy eddig javítatlan Adobe Reader sérülékenységet legalább 2025 decembere óta aktívan kihasználnak rosszindulatúan kialakított PDF dokumentumokon keresztül. A kampány különösen azért aggasztó, mert a publikált információk szerint a támadás a legfrissebb Adobe Reader verzión is működhet, és a felhasználó részéről elegendő lehet pusztán a PDF megnyitása. A rendelkezésre álló […]

Overview

Multiple vulnerabilities have been identified in Orthanc DICOM Server version, 1.12.10 and earlier, that affect image decoding and HTTP request handling components. These vulnerabilities include heap buffer overflows, out-of-bounds reads, and resource exhaustion vulnerabilities that may allow attackers to crash the server, leak memory contents, or potentially execute arbitrary code.

Description

Orthanc is an open-source lightweight Digital Imaging and Communications in Medicine (DICOM) server used to store, process, and retrieve medical imaging data in healthcare environments. The following nine vulnerabilities identified in Orthanc primarily stem from unsafe arithmetic operations, missing bounds checks, and insufficient validation of attacker-controlled metadata in DICOM files and HTTP requests.

CVE-2026-5437 An out-of-bounds read vulnerability exists in DicomStreamReader during DICOM meta-header parsing. When processing malformed metadata structures, the parser may read beyond the bounds of the allocated metadata buffer. Although this issue does not typically crash the server or expose data directly to the attacker, it reflects insufficient input validation in the parsing logic.

CVE-2026-5438 A gzip decompression bomb vulnerability exists when Orthanc processes an HTTP request with Content-Encoding: gzip. The server does not enforce limits on decompressed size and allocates memory based on attacker-controlled compression metadata. A specially crafted gzip payload can trigger excessive memory allocation and exhaust system memory.

CVE-2026-5439 A memory exhaustion vulnerability exists in ZIP archive processing. Orthanc automatically extracts ZIP archives uploaded to certain endpoints and trusts metadata fields describing the uncompressed size of archived files. An attacker can craft a small ZIP archive containing a forged size value, causing the server to allocate extremely large buffers during extraction.

CVE-2026-5440 A memory exhaustion vulnerability exists in the HTTP server due to unbounded use of the Content-Length header. The server allocates memory directly based on the attacker-supplied header value without enforcing an upper limit. A crafted HTTP request containing an extremely large Content-Length value, such as approximately 4 GB, can trigger excessive memory allocation and server termination, even without sending a request body.

CVE-2026-5441 An out-of-bounds read vulnerability exists in the DecodePsmctRle1 function of DicomImageDecoder.cpp. The PMSCT_RLE1 decompression routine, which decodes the proprietary Philips Compression format, does not properly validate escape markers placed near the end of the compressed data stream. A crafted sequence at the end of the buffer can cause the decoder to read beyond the allocated memory region and leak heap data into the rendered image output.

CVE-2026-5442 A heap buffer overflow vulnerability exists in the DICOM image decoder. Dimension fields are encoded using Value Representation (VR) Unsigned Long (UL), instead of the expected VR Unsigned Short (US), which allows extremely large dimensions to be processed. This causes an integer overflow during frame size calculation and results in out-of-bounds memory access during image decoding.

CVE-2026-5443 A heap buffer overflow vulnerability exists during the decoding of PALETTE COLOR DICOM images. Pixel length validation uses 32-bit multiplication for width and height calculations. If these values overflow, the validation check incorrectly succeeds, allowing the decoder to read and write to memory beyond allocated buffers.

CVE-2026-5444 A heap buffer overflow vulnerability exists in the PAM ( https://netpbm.sourceforge.net/doc/pam.html) image parsing logic. When Orthanc processes a crafted PAM image embedded in a DICOM file, image dimensions are multiplied using 32-bit unsigned arithmetic. Specially chosen values can cause an integer overflow during buffer size calculation, resulting in the allocation of a small buffer followed by a much larger write operation during pixel processing.

CVE-2026-5445 An out-of-bounds read vulnerability exists in the DecodeLookupTable function within DicomImageDecoder.cpp. The lookup-table decoding logic used for PALETTE COLOR images does not validate pixel indices against the lookup table size. Crafted images containing indices larger than the palette size cause the decoder to read beyond allocated lookup table memory and expose heap contents in the output image.

Impact

The vulnerabilities in Orthan DICOM Server 1.20.10 allow attackers to trigger heap memory corruption, out-of-bounds read, information disclosure, and denial-of-service conditions through crafted DICOM files and HTTP requests. The most severe issues are heap-based buffer overflows in image parsing and decoding logic, which can crash the Orthanc process and may, under certain conditions, provide a pathway to remote code execution (RCE). Several additional flaws permit out-of-bounds reads that can expose heap-resident data, including allocator metadata, internal identifiers, points, and portions of adjacent DICOM content through rendered image output. In addition, multiple vulnerabilities allow resource exhaustion by causing Orthanc to allocate excessive amounts of memory based on attacker-controlled metadata such as Content-Length, ZIP archive size fields, and gzip decompression size values. These conditions can reliably result in process termination and denial of service, often with only a small, crafted payload. Some of the affected code paths may also allow malicious DICOM content to be stored and later re-triggered during normal processing, increasing the persistence and operational impact of exploitation.

Solution

Orthanc has released version 1.12.11 to address these vulnerabilities, and users are strongly encouraged to upgrade as soon as possible. Administrators should review deployment configurations to limit exposure of upload and image processing functionality to trusted users and networks wherever possible. Refer to Orthanc documentation and release notes for patching and deployment guidance.

Acknowledgements

Thanks to Dr. Simon Weber and Volker Schönefeld of Machine Spirits UG (https://machinespirits.com) for the disclosure of these vulnerabilities. This document was written by Michael Bragg.