Обзор уязвимостей за прошедшую неделю (17-23 апреля)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: BI.ZONE, Vaultwarden, Bitwarden, PyTorch, AppSec Solutions, Google, Chrome, Erlang/OTP, Информзащита, SureTriggers, WordPress, Check Point, Windows NTLM.
Исследователи из BI.ZONE нашли серьёзные уязвимости в Vaultwarden — решении с открытым кодом для хранения конфиденциальных данных. Продукт распространяется бесплатно, при этом его интерфейс совместим с API менеджера паролей Bitwarden. Это делает Vaultwarden всё более востребованным среди пользователей.
В популярном инструменте машинного обучения PyTorch выявлена критическая проблема безопасности (CVE-2025-32434), позволяющая удалённо запускать произвольный код. Уязвимость актуальна даже при загрузке моделей с активированной опцией weights_only=True, если источники неблагонадёжны.
Популярные мобильные приложения, помогающие путешественникам бронировать билеты, жильё и туры, зачастую не обеспечивают должный уровень защиты пользовательских данных. К такому выводу пришли специалисты компании AppSec Solutions в свежем аналитическом докладе.
Компания Google устранила опасный баг в браузере Chrome, который существовал более двух десятилетий. Уязвимость в механизме CSS-псевдокласса :visited позволяла посторонним узнавать, какие страницы посещал пользователь.
Серьёзная брешь обнаружена и в Erlang/OTP — рейтинг угрозы составляет максимальные 10 баллов по CVSS. Проблема даёт возможность неавторизованному злоумышленнику удалённо запустить код.
Только чуть больше половины всех найденных уязвимостей устраняются компаниями после завершения пентеста. По мнению экспертов «Информзащиты», основная причина кроется в недостаточно эффективной системе принятия решений по улучшению ИБ-процессов.
В плагине SureTriggers для WordPress найдена критическая уязвимость, с помощью которой можно создавать аккаунты с правами администратора. Под угрозой находятся свыше 100 000 сайтов, использующих устаревшие версии плагина. Зафиксированы реальные атаки на незащищённые ресурсы.
Специалисты Check Point сообщают, что вредоносные действия с использованием уязвимости Windows NTLM (CVE-2025-24054) начались примерно через неделю после выхода соответствующих обновлений.
