Обзор уязвимостей за прошедшую неделю (2-8 апреля)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Windows, xray, sing-box, Gigabyte Control Center, ChatGPT, Chrome, Telegram, Apache ActiveMQ Classic, Ninja Forms File Uploads, Flowise.
В открытый доступ опубликован эксплоит BlueHammer для уязвимости в Windows, позволяющей локально повысить привилегии до уровня SYSTEM или администратора. Код размещён на GitHub исследователем после разногласий с Microsoft Security Response Center по поводу обработки отчёта.
Обнаружена проблема в мобильных VLESS-клиентах на базе xray и sing-box. Уязвимость позволяет определить реальный IP прокси-сервера, обойти механизм per-app split tunneling, а в одном из клиентов — получить доступ к пользовательским конфигурациям.
В утилите Gigabyte Control Center выявлена критическая уязвимость, позволяющая удалённому атакующему без аутентификации записывать произвольные файлы в системе. Эксплуатация может привести к выполнению кода, повышению привилегий и отказу в обслуживании.
В ChatGPT выявлена уязвимость, позволявшая скрытно извлекать данные из пользовательских переписок. Проблема была устранена, при этом сведений о её использовании в атаках не зафиксировано.
В браузере Chrome закрыта уязвимость нулевого дня CVE-2026-5281, которая уже применялась злоумышленниками в реальных атаках. Для устранения проблемы выпущено срочное обновление.
В реестре Zero Day Initiative зафиксирована критическая уязвимость Telegram под идентификатором ZDI-CAN-30207. При этом представители сервиса заявили, что проблема отсутствует и выводы исследователя некорректны.
Уязвимость удалённого выполнения кода в Apache ActiveMQ Classic, существовавшая более 13 лет, может комбинироваться с другой ошибкой для обхода аутентификации. Это повышает риск компрометации систем, использующих данный брокер сообщений.
В дополнении File Uploads для плагина Ninja Forms в WordPress выявлена критическая уязвимость, позволяющая захватить контроль над уязвимыми сайтами. Проблема затрагивает десятки тысяч установок, и уже зафиксированы многочисленные попытки эксплуатации.
В платформе Flowise обнаружена уязвимость, позволяющая удалённо выполнять произвольный код. Злоумышленники уже начали использовать эту проблему в атаках.
