Positive Development Community

А вы уже одной ногой в выходных? Если до сих пор нет, это непростительная ошибка. Очень важный шаг, его надо сделать поскорее, не тяните 🙂 Всем остальным — чудесно провести время сегодня и от души отдохнуть следующие пару дней 🤗

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-94106, обнаруженная в getID3 в версиях до 1.9.26, приводит к OS Command Injection [fix]. 🐛 CVE-2026-93988, обнаруженная в QloApps в версиях до 1.7.0 включительно, приводит к Path Traversal [fix]. 🐛 CVE-2026-93426, обнаруженная в SigNoz в версиях с 0.87.0 до 0.142.0, приводит к SQL Injection [fix]. 🐛 CVE-2026-77386, обнаруженная в Kyoo в версиях до 5.1.0, приводит к Open Redirect [fix]. 🐛 CVE-2026-71537, обнаруженная в Paymenter в версиях до 1.5.7, приводит к Race Condition [fix].

Представьте, что у вас 166 тысяч нейронов и 125 миллионов синапсов — интеллектуал в своей среде, между прочим. И вот вы умираете. Всё, финал? Щас. Человечество такое: «Не-не, подождите, тут ещё есть с чем поработать». Ваш мозг 10 лет оцифровывают, запускают на бездушном кремнии, и первое, что вы видите после смерти, это... Doom. Ну охренеть теперь: цифровой рай, оказывается, ещё заслужить нужно. И ведь дальше хуже. Вас учат решать кубик Рубика, играть в тетрис, генерировать шрифты, водить машину и расследовать инциденты SOC. При жизни весьма удачной траекторией считалось родиться, найти персик и утонуть в компоте. Понятный и вполне прогнозируемый путь. После смерти — внезапно R&D, KPI, метрики обучения и какой-то чел задротского вида, задумчиво произносящий: «интересно, а оно может обучаться на отрицательном подкреплении?». Сам ты «оно», обезьяна лысая, с дамой разговариваешь, между прочим. И ведь отказаться нельзя: кнопки уволиться тупо нет. Зато есть двустволка, и какодемоны с импами внутри каких-то лабиринтов. И ещё тот черт снаружи, который все это придумал и навайбкодил. И пятниц тоже нет. Точнее в теории-то есть — это момент, после которого твой мозг не выфоркивали хотя два дня подряд. Т.е. примерно никогда. Это всё к чему... цените пятницы, пока есть такая возможность. А то киберпанк уже близко, похоже 😨

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-90774, обнаруженная в rustypaste в версиях до 0.18.1, приводит к Path Traversal [fix]. 🐛 CVE-2026-90769, обнаруженная в Open Notebook в версиях до 1.11.0, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-90561, обнаруженная в Strapi в версиях с 4.0.0 по 4.26.2 включительно и с 5.0.0 до 5.48.1, приводит к Cross-Site Scripting (XSS) [fix]. 🐛 CVE-2026-89011, обнаруженная в isomorphic-git в версиях до 1.42.0, приводит к Prototype Pollution [fix]. 🐛 CVE-2026-88046, обнаруженная в rclone в версиях до 1.75.1, приводит к Path Traversal [fix].

Ну как, так-то 🥺 Только вот на днях ведь календарь переворачивали, и снова пятница... Или, это хорошая новость? 🤔 Как бы там ни было, всем — поскорее дожить до вечера и правильно провести его, чтобы максимально эффективно зайти в чудесные выходные 🤗 ...в отличие от админа, у которого сегодня вечером деплой AI-кода в прод релиз очередной версии c0wrk'а (не уподобляйтесь ему, пятница измен не прощает)

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-82404, обнаруженная в TOON в версиях до 2.3.1, приводит к Prototype Pollution [fix]. 🐛 CVE-2026-81891, обнаруженная в elFinder в версиях до 2.1.70, приводит к Unrestricted File Upload [fix]. 🐛 CVE-2026-62993, обнаруженная в Smarty в версиях 5.0.0 до 5.8.2, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-55848, обнаруженная в MapFish Print в ветках с 3.0.0 по 3.28.30, приводит к XML External Entity (XXE) [fix]. 🐛 CVE-2026-86242, обнаруженная в Bifrost HTTP transport в версиях до 2.0.0, приводит к Remote Code Execution (RCE) [fix].

Ищем спикеров на Positive AppSec Conf! 18 ноября в Кибердоме пройдет первая позитивная конференция по безопасной разработке, практике DevSecOps и кибербеза. Будем обсуждать, как находить и устранять уязвимости, встраивать проверки в процессы разработки и защищать ПО уже после вывода в эксплуатацию. У организаторов есть: 🔹Желание поговорить не про «успешный успех», а про реальный опыт, даже если он негативный 🔹Твердое намерение отсеивать рекламные доклады 🔹Суровый программный комитет, в который входят эксперты из разных компаний Такое мы одобряем и сами готовим несколько активностей для вас на мероприятии. Подавайте доклады до 10 октября.

«Я календарь переверну...» (с) а там — пятница 😊 Всем прекрасного вечера и от души отдохнуть в выходные 🤗

Всем привет! В новой статье на habr рассказали, как наш PT BlackBox собирает поверхность атаки и как устроен новый динамический краулер – все лучшее сразу в техническом разборе от Владимира Гринчукова из команды разработки. Читать

⚡ Наш новый ИИ-инструмент помог найти критическую уязвимость в проекте Microsoft Команда AppSec Research в Позитиве разрабатывает технологию на основе ИИ — она автоматизирует поиск уязвимостей в исходном коде и проверку возможности их эксплуатации, ускоряя анализ по сравнению с традиционными подходами. В ходе тестирования ИИ-инструмент помог обнаружить уязвимость максимального уровня опасности в проекте Microsoft — Prompty. AppSec-инженеру потребовалось всего две минуты на проверку результатов сканирования.

Prompty — это опенсорс-проект Microsoft для работы с промптами: с его помощью разработчики создают, тестируют и отлаживают запросы для больших языковых моделей. Для этого используются специальные .prompty-файлы: в начале находится блок с настройками — какую модель использовать и какие данные передавать, ниже — сам текст промпта. По открытым данным npm, PyPI и Visual Studio Marketplace, проектом пользуются десятки тысяч разработчиков, поэтому уязвимость потенциально могла затронуть большое число корпоративных и пользовательских систем.

Какой недостаток был обнаружен Уязвимость получила идентификатор CVE-2026-73299 (PT-2026-71197) и максимальную оценку опасности — 10 из 10 по шкале CVSS. Она затрагивала версии @prompty/core (основного компонента проекта, который отвечает за обработку .prompty-файлов) до 0.1.4 и 2.0.0-beta.4 включительно. Проблема была связана с Nunjucks — компонентом, который используется для обработки шаблонов. Из-за ошибки злоумышленник мог подготовить специальный .prompty-файл, который при обработке заставлял приложение выполнить произвольный JavaScript-код на сервере. Код запускался с правами самого приложения: потенциально злоумышленник мог получить доступ к данным и секретам, файлам и настройкам, вмешаться в работу сервиса или нарушить его доступность. При этом обычный текстовый запрос к ИИ сам по себе такой атаки не вызывает. Для эксплуатации нужно, чтобы приложение использовало уязвимую версию @prompty/core и обработало специально подготовленный .prompty-файл — например, полученный из внешнего репозитория, от другого пользователя или сгенерированный с помощью LLM. Microsoft устранила проблему в версиях 0.1.5 и 2.0.0-beta.5.

«Новая технология помогла нам быстро проследить путь от небезопасной обработки шаблона до выполнения кода и подтвердить сценарий атаки на практике. Поэтому для таких файлов с промптами нужны те же базовые меры, что и для кода: доверенные источники, контроль изменений и происхождения, запрет на обработку непроверенных шаблонов и запуск ИИ-инфраструктуры с минимально необходимыми правами», — отметил Александр Халиков, старший специалист AppSec Research, Positive Technologies.

Подробнее о нашем новом ИИ-инструменте расскажем уже скоро (спойлер: это не единственная находка). @Positive_Technologies

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-71510, обнаруженная в Dolibarr в версиях до 24.0.0, приводит к SQL Injection [fix⁠]. 🐛 CVE-2026-61800, обнаруженная в Wazuh в версиях с 4.4.0 до 4.14.7 включительно, приводит к Path Traversal [fix⁠]. 🐛 CVE-2026-76838, обнаруженная в Hi.Events в версиях до 1.11.1-beta, приводит к Server-Side Request Forgery (SSRF) [fix⁠]. 🐛 CVE-2026-79774, обнаруженная в Winter CMS в версиях до 1.2.13, приводит к Remote Code Execution (RCE) [fix⁠]. 🐛 CVE-2026-73102, обнаруженная в RustDesk в версиях с 1.3.9 по 1.4.9 включительно, приводит к Path Traversal [fix⁠].

🟥 «Безопасность приложений: практикум для инженеров» — старт уже 7 сентября Успейте занять место! Программу разработали инженеры Positive Technologies, которые внедряют AppSec-процессы в реальных проектах. Они будут проверять задания, давать обратную связь и отвечать на вопросы участников В программе: 🔴построение безопасного SDLC, распределение ролей и формирование дорожной карты 🔴применение SAST, DAST, SCA, моделирования угроз и фаззинга 🔴интеграция проверок безопасности в CI/CD-конвейер 🔴безопасность контейнерных сред и ML-инфраструктуры 🔴методология ФСТЭК и развитие культуры безопасности в команде Практикум подойдет разработчикам, DevOps-инженерам, тестировщикам, архитекторам, аналитикам и тимлидам — всем, кто участвует в разработке и хочет выстроить процессы AppSec на практике 📅 Старт: 7 сентября 2026 ⏱️ Длительность: 6 недель 💻 Формат: онлайн 📩 Стоимость: по запросу 👉 [Посмотреть программу и записаться]

Последний мем наглядно иллюстрирует, что бывает с теми, кто безответственно задерживает наступление правильной части пятницы. Не совершайте эту ошибку, действуйте правильно 🙂 Всем скорейших правильных действий и последующих чудесных выходных ❤️

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-61539, обнаруженная в Xinference в версиях до 2.7.0, приводит к Remote Code Execution (RCE) [fix]. 🐛 CVE-2026-77815, обнаруженная в Infinite Image Browsing в версиях до 1.8.0 включительно, приводит к Path Traversal [fix]. 🐛 CVE-2026-71513, обнаруженная в NLTK в версиях до 3.10.3, приводит к Insecure Deserialization [fix]. 🐛 CVE-2026-62316, обнаруженная в Microsoft UFO в версиях до 3.0.8, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-49436, обнаруженная в LinkAce в версиях до 2.5.7, приводит к Cross-Site Scripting (XSS) [fix].

Всем отставить созвоны, и бегом в правильную часть пятницы (седьмой час уже, имейте совесть)! Всем, кто уже в пути: благополучно добраться, достойно встретить и приятно провести чудесные выходные 🤗

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-71964, обнаруженная в CyberPanel в версиях до 2.4.3 включительно, приводит к Arbitrary File Reading [fix]. 🐛 CVE-2026-72908, обнаруженная в ERPNext в версиях до 15.109.0 и 16.20.0, приводит к SQL Injection [fix]. 🐛 CVE-2026-73222, обнаруженная в Claude Code Templates в версиях до 1.29.4, приводит к Remote Code Execution (RCE) [fix]. 🐛 CVE-2026-73228, обнаруженная в Django REST framework в версиях до 3.17.2, приводит к Uncontrolled Resource Consumption (DoS) [fix]. 🐛 CVE-2026-73498, обнаруженная в MCP Atlassian в версиях до 0.22.0, приводит к Path Traversal [fix].

Что может быть грустнее, чем последняя пятница в отпуске? 🥺 Правильно, много чего. Потому что пятница — есть пятница, как ни крути. Так что, всем взбодриться (мемы в помощь) и уверенным шагом отправляться в её правильную часть! А, и чудесных всем выходных ещё 🙈