24 уязвимости в curl открывают путь к выполнению кода через HTTP/2
В библиотеке curl, через которую программы и серверы обмениваются сетевыми данными, нашлись 24 уязвимости. Исправления собрали в версии 8.23.0, она вышла 14 октября 2026 года.
Уязвимости
Информация и полезные материалы по уязвимостям.
Уязвимость удалённого выполнения кода в Drupal core и обход доступа в двух десятках сторонних модулей
Сайты на Drupal с модулем Field UI можно захватить удалённо, не имея учётной записи. Уязвимость удалённого выполнения кода в ядре Drupal команда безопасности оценила в 19 баллов из 25 по своей внутренней шкале.
Четыре уязвимости в Junos OS позволяют захватить контроль над устройством и вызвать отказ в обслуживании
Записи об уязвимостях опубликованы 14 октября. Одна из них даёт локальному пользователю с урезанными правами полный контроль над маршрутизатором серии MX, три другие приводят к отказам в обслуживании и
Пять уязвимостей nginx открывают путь к выполнению кода и подделке TLS-сессий
Пять уязвимостей в nginx позволяют остановить рабочий процесс, подделать клиентскую TLS-сессию и подменить содержимое запроса, который уходит на внутренний сервер.
Десятки уязвимостей Firefox и веток ESR ведут за пределы песочницы
Подготовленная веб-страница позволяет выйти за пределы песочницы Firefox, повысить свои права в системе и получить доступ к пользовательским файлам. Уязвимы Windows-сборки браузера до версии 158.
SQL-инъекции в четырех продуктах Fortinet дают пользователю с низкими правами читать файлы и выполнять команды
Четыре уязвимости класса внедрения SQL-кода затрагивают веб-интерфейс FortiAnalyzer, FortiAnalyzer Cloud, FortiManager и FortiManager Cloud. Пользователь с низкими правами может через специально сформированные
Внедрение SQL-кода в веб-интерфейсе FortiMail открывает путь к выполнению команд
Fortinet исправила в почтовом шлюзе FortiMail уязвимость класса "внедрение SQL-кода" (SQL-инъекция). Для эксплуатации нужна учётная запись в веб-почте: пользователь отправляет специально составленный запрос
Некорректная блокировка в FortiOS ведёт к отказу в обслуживании интерфейса управления
Уязвимость в FortiOS позволяет вывести из строя веб-интерфейс управления, который работает по HTTPS. Учётные данные для этого не нужны, достаточно сетевого доступа к устройству.
Двойное освобождение памяти в пяти продуктах Fortinet останавливает службу командной строки
Пять продуктов Fortinet содержат уязвимость двойного освобождения памяти. Это ошибка в работе с памятью: программа дважды освобождает один и тот же участок, и служба аварийно завершается.
Обход путей в FortiSIEM позволяет выполнить команды без аутентификации
В FortiSIEM, SIEM-системе (решение для сбора и корреляции событий информационной безопасности) от компании Fortinet, нашли уязвимость обхода путей. Эксплуатация не требует учётных данных: злоумышленник