Svg

นักวิจัย Searchlight ร้อยจุดอ่อนเล็ก ๆ หลายจุดในฟีเจอร์ Image Transformations ของ Cloudflare จนได้ XSS ผ่าน endpoint /cdn-cgi/image/ บน cloudflare.com ไฟล์ SVG ที่ซ่อนสคริปต์ในค่า namespace หลุดตัวกรอง svg-hush จากนั้น header Cache-Control ที่ส่งผ่านมาสั่ง Chromium ทิ้ง CSP ออกจากแคช แล้วการโหลดสำเนาจากแคชทำให้สคริปต์รันได้ เทคนิคเดียวกันใช้ทิ้ง CSP และ Content-Type บน Netlify Image CDN ได้ด้วย รายงานไม่ระบุ CVE หรือสถานะแพตช์ ทีมเว็บควรเลิกส่งต่อ header จากแหล่งที่ไม่เชื่อถือและตั้ง nosniff

ช่องโหว่ใหม่ CVE-2026-94545 (CVSS 9.5) ใน Next.js เปิดให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ผ่านฟีเจอร์ ImageResponse ที่ใช้สร้างภาพพรีวิว Open Graph ความเสี่ยงเกิดเมื่อแอปนำค่าที่ผู้โจมตีควบคุมได้ เช่นข้อความจาก URL ไปใส่ในภาพ กระทบ Next.js 16.2.0 ถึง 16.3.5 เมื่อ ImageResponse รันบน Node.js runtime ซึ่งเป็นค่าเริ่มต้น บริษัท Vercel ออกแพตช์แล้วในเวอร์ชัน 16.3.6 ต้นตอที่แท้จริงอยู่ในไลบรารี Satori ที่แปลงเลย์เอาต์ภาพเป็นโค้ด SVG

บริษัท Arctic Wolf เปิดเผยมัลแวร์ Go ที่ไม่เคยมีเอกสารมาก่อนชื่อ GoCaracal พบในเหตุเจาะองค์กรสื่อสารแห่งหนึ่งในเวเนซุเอลาเมื่อมิถุนายน 2569 มัลแวร์มาสองโปรไฟล์ ตัวเบาให้เชลล์และรันเพย์โหลด ตัวเต็มเพิ่มขโมยข้อมูลเบราว์เซอร์ คีย์ล็อก รีโมตเดสก์ท็อป WebRTC และพร็อกซี SOCKS5 จุดที่แปลกที่สุดคือเมื่อติดต่อเซิร์ฟเวอร์ควบคุมหลักไม่ได้ซ้ำ ๆ มันจะยิง eth_getStorageAt ไปยังโหนด Ethereum สาธารณะเพื่ออ่านที่อยู่สำรอง บริษัทเชื่อมโยงกับกลุ่ม Dark Caracal ด้วยความมั่นใจระดับปานกลาง

XBOW พบช่องโหว่ 2 รายการใน Bing Images ที่ไฟล์ SVG ปั้นพิเศษสามารถรันคำสั่งในระดับ NT AUTHORITY\SYSTEM บนเครื่องประมวลผลภาพของ Microsoft และเป็น root บนเครื่อง Linux Microsoft ออก 2 CVE (CVE-2026-32194, CVE-2026-32191) ระดับ 9.8 และแก้ฝั่งเซิร์ฟเวอร์ให้แล้วก่อนประกาศเดือน มี.ค. ต้นเหตุคือ delegate ของ ImageMagick ที่ส่งไฟล์ไปให้เชลล์รัน ผู้ใช้ Bing ไม่ต้องทำอะไร แต่องค์กรที่ใช้ ImageMagick ควรปิด delegate