ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Information-Disclosure

ภาพรวมแท็กนี้

4 ข่าว

Zoom ออกแพตช์ CVE-2026-108185 แก้ช่องโหว่ตรวจใบรับรองผิดพลาดในฟีเจอร์ My Notes (CVSS 7.4) กระทบ Zoom Workplace บนระบบปฏิบัติการ Windows, macOS, Linux, Android และ iOS

Zoom patches a certificate validation flaw in the My Notes feature
Zoom ออกประกาศ ZSB-26022 แก้ CVE-2026-108185 ช่องโหว่ตรวจสอบใบรับรองไม่ถูกต้องในฟีเจอร์ My Notes ของ Zoom Workplace คะแนน CVSS 7.4 ผู้โจมตีที่เข้าถึงเครือข่ายได้อาจทำให้ข้อมูลอ่อนไหวรั่วไหลโดยไม่ต้องยืนยันตัวตน กระทบไคลเอนต์ทั้ง Windows, macOS, Linux, Android และ iOS ตามช่วงเวอร์ชันที่ระบุ ทีม Zoom Offensive Security เป็นผู้ค้นพบ ยังไม่มีรายงานการโจมตีจริง ควรอัปเดตเป็นเวอร์ชันที่แก้แล้วตามสาขาที่ใช้
ที่มา: GBHackers
อ่านต่อ →

Apache Struts แก้ 4 ช่องโหว่ — OGNL injection ใน RESTful action mapper รุ่นเก่านำไปสู่ RCE และ REST plugin อ่าน request body ไม่จำกัดขนาดจน heap เต็ม

Apache Struts fixes four vulnerabilities including OGNL injection remote code execution and REST plugin denial of service
มูลนิธิ Apache ออกประกาศแก้ช่องโหว่ 4 รายการใน Apache Struts ครอบคลุม RCE, DoS และข้อมูลรั่วข้ามผู้ใช้ CVE-2026-104711 เป็น OGNL injection ใน RESTful action mapper รุ่นเก่าที่อาจนำไปสู่การรันโค้ดระยะไกล ส่วน CVE-2026-104713 ระดับ Important ทำให้ REST plugin อ่าน request body ไม่จำกัดขนาดจนหน่วยความจำ heap หมด อีกสองรายการคือ BigDecimal ที่ทำให้คำขอเล็กได้คำตอบใหญ่ และ formatter ที่แชร์กันจนข้อมูลผู้ใช้ปนกัน แนะนำอัปเดตเป็น Struts 7.4.0 หรือ 6.12.0 ขึ้นไป
ที่มา: Cyber Security News
อ่านต่อ →

GitLab ออกแพตช์ปิดช่องโหว่ 13 รายการ รวม XSS ระดับสูง 3 ตัวที่นำไปสู่การรันโค้ดและข้อมูลรั่ว

GitLab patches code execution and information disclosure vulnerabilities
GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6
ที่มา: SecurityWeek
อ่านต่อ →

แฮ็กเกอร์เร่งโจมตีปลั๊กอิน Gravity SMTP บน WordPress — ช่องโหว่ CVE-2026-4020 เปิดเผย API Key กว่าแสนเว็บ

Hackers exploit Gravity SMTP WordPress plugin bug CVE-2026-4020 to expose API keys
แฮ็กเกอร์กำลังเร่งโจมตีช่องโหว่ CVE-2026-4020 (CVSS 5.3) ในปลั๊กอิน Gravity SMTP บน WordPress ที่ติดตั้งราว 100,000 เว็บ ช่องโหว่ระดับกลางประเภท information disclosure เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนดึง System Report กว่า 365 KB รวมถึง API key ของ Amazon SES, Google, Mailjet, Resend, Zoho ผ่าน REST API endpoint ที่ permission_callback คืนค่า true เสมอ Wordfence บล็อกความพยายามโจมตีไปแล้วกว่า 17 ล้านครั้ง แพตช์อยู่ในเวอร์ชัน 2.1.5
ที่มา: The Hacker News
อ่านต่อ →