Xss

Wordfence เปิดเผยการโจมตีซัพพลายเชนปลั๊กอิน WordPress ของ BdThemes ที่ไม่มีการแก้ไฟล์ซอร์สโค้ดในคลัง WordPress.org แม้แต่ไฟล์เดียว ผู้โจมตีเข้าไปแก้ไฟล์ JSON โปรโมชันบนบัคเก็ต DigitalOcean Spaces ของผู้พัฒนาแทน ไฟล์ที่ถูกวางยาจุดชนวนช่องโหว่ XSS ในคอมโพเนนต์ Biggopti ทำให้สคริปต์ทำงานในเบราว์เซอร์ของแอดมินทุกครั้งที่เปิดหน้า wp-admin เพย์โหลดสร้างบัญชีแอดมินลับ ติดตั้งเว็บเชลล์ และฝังโมดูลซ่อนตัวใน mu-plugins กระทบปลั๊กอิน 7 ตัวจนถูกปิดดาวน์โหลด

WordPress ออกแพตช์ปิดช่องโหว่ reflected XSS บนหน้าล็อกอินที่ใช้ได้โดยไม่ต้องยืนยันตัวตน กระทบทุกเวอร์ชันของระบบจัดการเนื้อหานี้ ติดตามในรหัส CVE-2026-64638 คะแนน CVSS 8.9 โดยทีม pwn.ai สาธิตว่าสามารถต่อยอดเป็นการรันโค้ด PHP บนเซิร์ฟเวอร์ได้เมื่อผู้ดูแลระบบที่ล็อกอินอยู่คลิกหน้าเว็บที่ผู้โจมตีควบคุมเพียงครั้งเดียว แพตช์ออกแล้วในเวอร์ชัน 7.0.3 เมื่อวันที่ 6 สิงหาคม พร้อมย้อนแพตช์ถึงสาย 4.7

บริษัท Proofpoint เปิดโปงแคมเปญของกลุ่ม TA488 หรือ Laundry Bear ที่เริ่มเมื่อ 22 กรกฎาคม 2569 ใช้ช่องโหว่ XSS CVE-2026-42897 (CVSS 8.1) ใน Microsoft Outlook Web Access โจมตีแบบ half-click เพียงเปิดอ่านอีเมลก็ติดมัลแวร์ เพย์โหลดคือแบ็กดอร์ JavaScript ชื่อ OWAReaper ที่ฝังตัวใน localStorage ขโมยโทเคน OAuth และให้สิทธิ์ Owner กับผู้ใช้ Default ในทุกโฟลเดอร์เมล ทำให้การหมุนรหัสผ่านหรือล้างเครื่องใหม่ไม่สามารถขับไล่ผู้โจมตีได้

กลุ่มจารกรรมที่รัฐรัสเซียหนุนหลังใช้เวลาหลายเดือนแอบอ่านกล่องอีเมลของหน่วยงานฝั่งตะวันตกผ่านช่องโหว่ zero-day ในเว็บเมล Zimbra ช่องโหว่ CVE-2025-66376 เป็น stored XSS ใน Classic UI ที่รันจาวาสคริปต์ทันทีเมื่อเหยื่อเปิดอีเมล HTML ที่ถูกดัดแปลง โดยไม่ต้องคลิกอะไรเพิ่ม เพย์โหลด ZimReaper ขโมยอีเมล 90 วันย้อนหลัง สมุดที่อยู่ทั้งองค์กร รหัสผ่านในเบราว์เซอร์ และรหัสกู้คืน 2FA NSA และ CISA ออกคำเตือนร่วมพร้อม Unit 42 และ Proofpoint

บริษัท Zimbra ออกอัปเดตเวอร์ชัน 10.1.20 ปิดช่องโหว่รวม 9 รายการ นำโดยช่องโหว่ inject คำสั่ง (Command Injection) ในคอมโพเนนต์เฝ้าระวัง SNMP ที่ทำงานเมื่อเปิดใช้การแจ้งเตือน SNMP พร้อมแก้ XSS ใน Classic Web Client อีก 4 รายการ และช่องโหว่ข้ามข้อจำกัดการส่งต่ออีเมล CVE-2026-50055 แม้ยังไม่พบการโจมตีจริง แต่ช่องโหว่ XSS ของ Zimbra เคยถูกใช้โจมตีมาแล้วหลายครั้ง

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ

บริษัท Proofpoint เปิดเผยกลุ่มจารกรรมที่คาดว่าเชื่อมโยงจีน UNK_MassTraction โจมตีเว็บเมล Roundcube ของภาควิชาฟิสิกส์และวิศวกรรมในมหาวิทยาลัยสหรัฐฯ และแคนาดา ใช้ช่องโหว่ XSS CVE-2024-42009 ที่เพียงเปิดอีเมลก็ถูกเจาะ ปล่อยมัลแวร์ IceCube ขโมย credential, 2FA และคุกกี้ แล้วต่อยอดช่องโหว่ RCE CVE-2025-49113 ฝัง web shell SquareShell หรือ VShell ในหน่วยความจำ นับเป็นครั้งแรกที่กลุ่มจีนถูกโยงกับการเจาะ Roundcube ซึ่งเดิมเป็นแนวถนัดของกลุ่มรัสเซีย

บริษัท IBM ออกประกาศเตือนช่องโหว่สามรายการใน WebSphere Application Server เวอร์ชัน 8.5 และ 9.0 ที่ระบบ integrated help ของคอนโซลผู้ดูแล สองรายการเป็น XSS (CVE-2026-11712, CVE-2026-11708) คะแนน CVSS สูงถึง 9.3 และอีกหนึ่งรายการเป็น path traversal (CVE-2026-11595) CVSS 4.3 ผู้โจมตีหลอกผู้ดูแลที่ล็อกอินให้คลิกลิงก์อันตรายเพื่อรันสคริปต์หรือเข้าถึงไฟล์จำกัด IBM ไม่มี workaround ต้องอัปเดต fix pack เท่านั้น

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6