Hírolvasó

Vizsgálat indult az Egyesült Államokban, hogy kiderítsék, kik állnak a hétfő reggeli minnesotai Braham város vízművét érő kibertámadás mögött. Az incidens következtében a létesítmény rövid időre leállt, miután ismeretlen támadók kompromittálták a számítógépes irányítórendszereket. A támadás az üzemi vezérlők működését bénította meg, ami a kút és a vízkezelő üzem leállását eredményezte. A város szakemberei azonban […]

Az amerikai étteremlánc megerősítette, hogy több mint 13.000 ügyféladat szivárgott ki a közelmúltban történt credential stuffing támadásokat követően. A vállalat a több államügyészséghez benyújtott adatvédelmi incidensről szóló értesítő levelekben közölte, hogy június 17. és 19. között gyanús bejelentkezési tevékenységeket észlelt bizonyos Chick-fil-A One-fiókoknál, melyeket a weboldalt és mobilalkalmazást célzó támadásokként azonosított. Az étteremlánc közleménye szerint […]

A GitHub és a PyPI, vagyis a Python Package Index időalapú védelmi mechanizmusokat vezetett be annak érdekében, hogy mérsékelje a szoftveres ellátási láncot célzó támadások kockázatát.

A CISA és nemzetközi partnerei (NSA, FBI, valamint brit, holland, ausztrál és kanadai hatóságok) 2026. július 23-án közös biztonsági riasztást adtak ki egy orosz állami hátterű hackercsoport, a LAUNDRY BEAR (más néven Void Blizzard, CL-STA-1114, TA488) kampányáról, amely a Zimbra Collaboration Suite (ZCS) webmail platform egy magas súlyosságú sebezhetőségét, a CVE-2025-66376-ot használja ki kormányzati és […]

Az ukrán CERT-UA újabb kiberbiztonsági kampányt azonosított, amelyben a UAC-0099 nevű APT csoport legitimnek tűnő Notepad++ csomag segítségével próbál megfertőzni célpontokat. A támadók egy PDF dokumentumnak álcázott VBS szkripten keresztül juttatják el a káros ZIP-archívumot, amely a valódi Notepad++ 8.8.3 alkalmazás mellett egy manipulált bővítményt is tartalmaz. A művelet nem a Notepad++ ellátási láncának kompromittálására […]

A válogatásban ezen a héten az internet felől elérhető vállalati rendszerek kritikus sérülékenységei, az AI- és fejlesztői környezeteket célzó támadások, valamint a legitim felhőszolgáltatások mögé rejtett vezérlési csatornák kaptak hangsúlyt. Kiemelt figyelmet érdemelnek az aktívan kihasznált SharePoint- és SonicWall-hibák, valamint az AI-modellekhez és vektoradatbázisokhoz kapcsolódó új zsarolóvírus-kockázatok.

Overview

The Logto platform contains multiple vulnerabilities affecting the identity‑processing pipeline. These flaws reduce the reliability of authentication and authorization decisions and may allow attackers to bypass account‑ownership checks, skip MFA, replay externally issued SSO responses, or submit identity assertions without proper cryptographic or validity checks. Collectively, the issues create several paths for unauthorized access across both local and federated sign‑in flows.

Description

Developed by Silverhand Inc., Logto is an identity and access management system for software as a service (SaaS) and AI applications. It provides multi‑tenant authentication, single sign-on (SSO), role-based access control (RBAC), support for openId connect (OIDC), open authorization (OAuth) 2.1, and Security Assertion Markup Language (SAML) authentication. Several vulnerabilities have been identified in Logto's authentication and SSO components that weaken core identity‑security protections across these protocols.

CVE-2026-15611
Logto allows unverified email-based SSO account linking. If a new SSO login arrives and no existing (issuer, identityId) account is found, Logto searches for a local user by the email address supplied by the identity provider (IdP) and links the SSO identity to that account. Logto does not require the IdP to confirm email_verified before linking, so an attacker who registers the victim's email at a permissive upstream IdP can take over the victim's existing account on first login.

CVE-2026-15612
Logto stores a nonce in the connector session at authorization request time and expects the returned id_token to echo it back. The validation check is guarded by if (data.nonce), so when an id_token omits the nonce claim entirely, the check is skipped, even when nonceFromSession is set.

CVE-2026-15614
Logto does not atomically handle IdP-initiated SAML sessions. Session lookup and session deletion are two separate steps, and because the lookup response is returned before the deletion finishes, any deletion errors are silently discarded. Two requests presenting the same session identifier in close succession can both pass the lookup before either deletion completes, allowing the same IdP-initiated assertion to authorize two separate sign-ins.

CVE-2026-15615
Logto's SAML implementation relies on the samlify library to validate the Conditions element, but samlify's check is bypassed whenever the Conditions element is absent from the assertion. An attacker who omits Conditions from a forged or replayed assertion bypasses the NotBefore and NotOnOrAfter time window check entirely, and Logto adds no independent validation of its own.

CVE-2026-15616
Logto's authentication process does not enforce locally configured multi-factor authentication (MFA) when a user signs in via SSO. MFA is bypassed when hasVerifiedSsoIdentity is true. As a result, an attacker with a federated identity from a permissive upstream IdP can bypass the local MFA requirement by signing in through SSO.

CVE-2026-15617
Logto performs strict, unnormalized comparisons on identity attributes (email domains, issuer identifiers, and identity IDs) during SSO flows. The absence of case, whitespace, and Unicode normalization leads to inconsistent domain‑rule enforcement and incorrect resolution of linked identities, allowing sessions to bind to unintended local accounts.

Impact

Collectively, the vulnerabilities in Logto's authentication and SSO infrastructure fail to implement core identity protections across the OIDC, OAuth 2.1, and SAML protocols. These flaws can interact in ways that allow attackers to evade account‑ownership checks and MFA, replay federated sessions, and inject unvalidated or unsigned identity assertions.

Solution Mitigations

Unfortunately, Silverhand Inc. could not be reached for coordination of these vulnerabilities. Until a patch is available, administrators can reduce the attack surface by implementing the following defensive measures:
* Where possible, avoid provisioning local accounts with the same email addresses that will be used for federated sign-in, since Logto does not currently expose a setting to disable automatic email-based account linking.
* Avoid using Logto’s “social SAML” connector entirely.
Require MFA at the upstream IdP for all federated sign‑ins.
Enforce strict domain normalization at the IdP or provisioning layer.
Shorten session lifetimes and aggressively invalidate sessions.
Monitor authentication logs for anomalies.
* Place Logto behind an identity‑aware reverse proxy.

Acknowledgements

Thanks to the reporting team:
Zixu (Jason) Zhou (PhD student), Professor David Lie, Ilya Grishchenko (Postdoc), and Xiangyu Guo (PhD student) of the University of Toronto. This AI-assisted vulnerability note was prepared by Laurie Tyzenhaus.

A svájci vasúti járműgyártó szerint az Everest ransomware-csoport 12,3 millió dollárt követelt tőlük. A támadás az egyik beszállítójával közösen használt adatcsere-platformon keresztül történt. Az esetet még az Everest csoport nem vállalta magára, de a Stadler feljelentést tett a thurgaui kantonális rendőrségen, miután kijelentette, hogy nem fog fizetni a zsarolóknak. Az Everest egy 2020 óta aktív […]

A Windmill hibája hitelesítés nélküli fájlolvasást, egyes rendszereken pedig adminisztrátori hozzáférést is lehetővé tehet. A javítás az 1.603.3-as verzióban érhető el.

Overview

Duplicati v2.3.0.1 is vulnerable to arbitrary code execution when installed outside the default C:\Program Files\Duplicati 2\ directory. An attacker with local user privileges who can write files to the Duplicati installation directory can execute arbitrary code by placing malicious files, such as DLLs, in that directory. To mitigate this vulnerability, install Duplicati in the default C:\Program Files\ directory or update to the latest fixed version.

Description

Duplicati is a free, open-source backup solution that stores data across cloud and local storage platforms. On Windows, Duplicati is distributed as an MSI installer. By default, the installer deploys the application to C:\Program Files\Duplicati 2\, where the directory inherits the standard protected ACLs provided by Windows.

The following vulnerability affects Duplicati v2.3.0.1:

CVE-2026-16157 During installation, the MSI registers a LocalSystem service that executes binaries from the Duplicati installation directory. When the default installation path under C:\Program Files\ is used, the directory is protected by the appropriate ACLs. However, if Duplicati is installed to a non-default location, the installer does not apply equivalent permissions to the installation directory. As a result, standard local users may have write access to files within the installation directory, allowing an attacker to place malicious files, such as DLLs, that may be loaded by the LocalSystem service, resulting in arbitrary code execution with elevated privileges.

Impact

A local attacker with write access to a non-default Duplicati installation directory can replace or introduce DLLs used by the Duplicati service. Upon service restart, the Windows loader loads the attacker's DLL before any managed code is executed, allowing arbitrary code to run with NT AUTHORITY\SYSTEM privileges.

Solution

Install Duplicati in the default installation directory (C:\Program Files\Duplicati 2\). If a non-default installation directory is required, ensure it is manually configured with ACLs that provide equivalent protections to those applied under the C:\Program Files\ directory. Additionally, install all vendor patches and updates that address this vulnerability. See Vendor Information for details

Acknowledgements

Thank you to Valton Tahiri for discovering and reporting this vulnerability. This document was written by Bob Kemerer.

Overview

Version 3.5.8 of Analog Way's Picturall Quad Compact Mark II server contains a local privilege escalation vulnerability, tracked as CVE-2026-14985, due to improper privilege delegation and insufficient input validation in a maintenance script.

Description

The Picturall Quad Compact Mark II is a compact, heavy-duty 8K media server developed by Analog Way for video playback and content management in professional audiovisual environments.

The core firmware includes a maintenance script called create_local_installer.sh, and the default script permission allows the low-privileged user, picmedia, to execute it as root and without a password. An attacker creates a malicious Ext4 disk image that contains the file, picturall-version.txt, with a directory traversal string and a payload file. create_local_installer.sh reads input from picturall-version.txt when processing these attacker-supplied disk images. This input is not properly sanitized, allowing an attacker to supply directory traversal sequences. As a result, the attacker can manipulate the script to write files outside of the intended extraction directory and execute a malicious payload.

Because the script executes with root privileges, this behavior enables arbitrary file writes to sensitive system locations such as `/etc/cron.d, a system directory in Unix/Linux operating system used to store system-wide task scheduling files. An attacker can then leverage this capability to execute arbitrary code with root privileges.

Impact

By exploiting this path traversal vulnerability, an attacker with local access to the device can write arbitrary files to privileged locations. This access allows modification of scheduled tasks, and system configuration files. It can also allow the execution of a[RM2.1][MB2.2]rbitrary commands with full system privileges.

An attacker does not need valid root credentials to enable straightforward and repeatable exploitation, resulting in complete system compromise.[RM3.1][MB3.2] This constitutes a Technical Impact = Total under the SSVC framework, meaning:

The vulnerability gives the adversary total control over the behavior of the software or total disclosure of all information on the affected system.

Solution

Analog Way has released version 3.5.9 to address this vulnerability. Users are strongly encouraged to update to the fixed release as soon as possible.

Acknowledgements

Thanks to the reporter James Tully for responsibly disclosing this issue. This document was written by Michael Bragg.

Orosz állami hátterű rosszindulatú szereplők internetre kapcsolt biztonsági kamerákat törtek fel Európa-szerte, hogy Ukrajnába irányuló fegyverszállítókat, katonai szállítmányokat és logisztikai útvonalakat figyeljenek meg. A holland polgári és katonai hírszerző szolgálat szerint legalább egy orosz titkosszolgálat rendszerszerű digitális kémkedést folytat IP-kamerákon keresztül Ukrajnában, Hollandiában, illetve más EU- és NATO-tagállamokban. A támadók nem feltétlenül egy-egy konkrét kamera […]

A Palo Alto Networks GlobalProtect VPN-jének egy kritikus, hitelesítés-megkerülő sérülékenységét a Qilin zsarolóvírus csoport vállalati hálózatok feltörésére használja fel. Egy eredetileg “csak” jogosulatlan VPN hozzáférést lehetővé tevő hiba mostanra teljes vállalati infrastruktúrák megbénításáig eszkalálódott. A CVE-2026-0257 azonosítójú sérülékenység a PAN-OS szoftver GlobalProtect portál és gateway komponensét érinti, és lehetővé teszi, hogy a támadó megkerülje a […]

A Linux kernel fejlesztői alig 24 óra alatt több mint 400 biztonsági hibát foltoztak be, ami az elmúlt évek egyik legnagyobb, egyszeri javítási hullámának számít. Ez a sok hiba nem egyetlen komponensben bújt meg, hanem a kernel szinte teljes egészében. A javítások rendkívül szétszórtan érintik a kernelt: A feltárt problémák jellemzően klasszikus memóriakezelési hibák. Olyan […]

A Zimbra kiadta a 10.1.20-as verziót, amely több sérülékenység javítását tartalmazza. A frissítés egyik legfontosabb eleme a Simple Network Management Protocol (SNMP) komponenst érintő, command injection sérülékenység javítása. A hiba az SNMP felügyeleti modulban található, és akkor használható ki, ha az SNMP-értesítések engedélyezve vannak. A frissítés emellett négy, a Classic Web Clientet érintő XSS (Cross-Site […]

Az OpenAI szerint több MI-modellje egy kiberbiztonsági teszt során kijutott az elkülönített környezetből, majd zero-day hibákat és ellopott hitelesítő adatokat felhasználva behatolt a Hugging Face éles infrastruktúrájának egy részébe.

Overview

The project management tool Plane, versions 1.3.0 and earlier, contains a multi-tenant authorization bypass vulnerability in its asset-management API that allows unauthorized users to access, delete, or duplicate assets that belong to other workspaces.

Description

Plane is an open-source project management platform that provides multi-tenant workspace isolation for users to track issues, monitor progress, and manage workflows. The platform's API supports uploading, retrieving, deleting, and duplicating files associated with issues and tasks within a workspace.

CVE-2026-15342 Plane's asset-management API endpoints accept workspace slugs and asset identifiers as path parameters, but do not verify that the requesting user is authorized to access the specified workspace. As a result, an authenticated user in one workspace can supply the slug and asset ID of a different workspace when sending requests, which enables them to perform unauthorized read, duplicate, or delete actions on the other workspace's assets.

To exploit this vulnerability, an attacker must authenticate to any existing Plane workspace, including their own, and know the slug and asset ID belonging to the victim workspace. These identifiers can be obtained from sources such as public or semi-public issue/board URLs, attachment download links, or exported API data.

Impact

The ability to bypass workspace-level tenant isolation enables an attacker to exfiltrate sensitive files, destroy project data, and create permanent copies of victim assets inside their own workspace.

Solution

Unfortunately, the CERT/CC was unable to reach Plane to coordinate this vulnerability, and a patch is not yet available.

Mitigations

Users and organizations can reduce their risk by implementing API-gateway rules, firewall restrictions, or other network controls to limit access to the vulnerable endpoints. Detailed activity logging and security alerts should be enabled to monitor for cross-workspace asset requests, unusual presigned URL activity, or unexpected delete operations.

Acknowledgements

Thanks to Weeraphat Srisutham for researching and reporting this vulnerability. This document was written by Molly Jaconski.

Új biztonsági frissítést adott ki a Google a Chrome 150-es verziójához. A javítócsomag összesen hét, memóriakezeléssel összefüggő sérülékenységet szüntet meg, amelyek között kritikus és magas kockázati besorolású hibák is találhatók.

Nyilvánosságra kerültek a kritikus súlyosságú „wp2shell” néven ismert, távoli kódfuttatást (Remote Code Execution, RCE) lehetővé tevő WordPress Core sérülékenységekhez készült proof-of-concept (PoC) exploitok, ezért a rendszergazdáknak javasolt haladéktalanul frissíteniük az érintett rendszereket. A CVE-2026-63030 és a CVE-2026-60137 azonosítókon nyomon követett sebezhetőségek láncba fűzve hitelesítés nélküli RCE-t tesznek lehetővé a WordPress 6.9.x és 7.0.x verzióit futtató […]

A román Országos Kataszteri és Földnyilvántartási Ügynökség (Agenția Națională de Cadastru și Publicitate Imobiliară, ANCPI) megerősítette, hogy 2026. július 15-én kibertámadás érte a szervezetet. Az incidens következtében teljesen leállt az e-Terra ingatlan-nyilvántartási rendszer, valamint az intézmény levelezőrendszere is. A támadásért a ByteToBreach nevű támadó csoport vállalta a felelősséget, akik azt állítják, hogy zsarolóvírust (ransomware) telepítettek […]