Positive Development Community

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-115895, обнаруженная в Happy DOM в версиях с 17.0.0 до 21.0.3, приводит к Remote Code Execution (RCE) [fix]. 🐛 CVE-2026-115877, обнаруженная в Twisted в версиях до 26.10.0rc1, приводит к HTTP Request Smuggling [fix]. 🐛 CVE-2026-112904, обнаруженная в Vvveb 1.0.8.6, приводит к Path Traversal [fix]. 🐛 CVE-2026-114620, обнаруженная в Authlib в версиях с 1.6.0 до 1.8.x, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-115324, обнаруженная в Mem0 в версиях с 0.1.117 до 1.0.8, приводит к SQL Injection [fix].

Сегодня для одного отдельно-взятого админа невероятно высока угроза того, что правильная часть пятницы стремительно сменит неправильную так, что он даже пикнуть не успеет. Так что, лучше уж сейчас, чем в субботу 🙂 Всем и от всей души того же! 🤗

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-104103, обнаруженная в Ludwig в версиях до 0.17.8, приводит к Path Traversal [fix]. 🐛 CVE-2026-104970, обнаруженная в Plane в версиях от 0.13 до 1.4.0, приводит к Race Condition [fix]. 🐛 CVE-2026-104107, обнаруженная в FileRise в версии 3.22.0, приводит к Path Traversal [fix]. 🐛 CVE-2026-112017, обнаруженная в JeecgBoot в версиях до 3.9.5, приводит к SQL Injection [fix]. 🐛 CVE-2026-30971, обнаруженная в ZoneMinder в версиях до 1.39.2, приводит к OS Command Injection [fix].

🐛 Скилл security-review — моя версия Прошу любить и жаловать. Забавно, что работать над ним я начал примерно одновременно с code-review, но довести до аналогичного качества его удалось лишь сейчас. Чем он лучше 100500 других скиллов на эту тему? Как минимум — тем, что его разрабатывал и отлаживал столько времени тот, кто свыше 15 лет занимается white-box-анализом кода и свыше 10 лет пилит инструменты SAST. Нескромно, зато факт 🙈 Менее объективные отличия: • Не полагается полностью на знания модели. Методика ревью и чек-листы покрывают OWASP для веба и агентов, бизнес-логику и уязвимости параллелизма. • Доказывает каждую уязвимость через реальный сценарий атаки, благодаря чему меньше шумит, маппит находки на CWE и достаточно точно оценивает риск по CVSS v4.0. Если же нужно ревью на неэксплуатируемые недостатки безопасности и подозрения на них, то это неплохо делает и упомянутый выше code-review. • Принимает во внимание не только код. Опирается на SECURITY.md, REVIEW.md, спеки и документацию, при их наличии. Это позволяет проводить ревью в соответствии с моделью угроз, архитектурой и инвариантами бизнес-логики. • Знает о сторонних инструментах анализа. Использует экосистемные и сторонние линтеры и анализаторы в качестве дополнительного источника находок. Например, если при анализе Python-проекта скилл увидит в системе условный Bandit, то прогонит скан и им, протриажит и присовокупит подтвержденные результаты к общему отчету. Затраты по времени и токенам на проведение ревью и качество его результатов значительно улучшает использование скилла в связке с MCP для работы с формальной моделью кода, типа codebase-memory-mcp. 🙌 #ИИ_инструменты · #безопасность_кода

Пятница без мемов — к работе админа на PSD (верная народная примета). Всем чудесных выходных! 🤗

Пятница без мемов — к работе админа на PSD (верная народная примета). Всем чудесных выходных! 🤗

Безопасный код ≠ безопасный прод 16 октября на онлайн-трансляции PSD 2026 команда AppSec Positive Technologies покажет, где вы реально теряете контроль: в вебе и в Kubernetes с ИИ‑сервисами. ▪️16:20 МСК PT BlackBox: исследуем SPA, API и авторизованные приложения без готовых схем, находим реальные точки атаки в работающем вебе. Разберём, как DAST дополняет SAST и что происходит между безопасным кодом и безопасным продом. ▪️16:40 МСК PT Container Security: Kubernetes как платформа для ИИ. Реальные атаки на кластеры с ИИ‑сервисами. Покажем, как контролировать секреты, системные команды, файлы, сетевые соединения и действия конкретного сервиса/контейнера. 16 октября · онлайн‑трансляция PSD 2026 ⬇️ Регистрируйтесь!

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-107394, обнаруженная в Indico в версиях до 3.3.13, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-108259, обнаруженная в @tinacms/cli в версиях до 3.0.0, приводит к Remote Code Execution (RCE) [fix]. 🐛 CVE-2026-108258, обнаруженная в py-shiny в версиях с 1.4.0 до 1.6.4, приводит к Path Traversal [fix]. 🐛 CVE-2026-107845, обнаруженная в Contao в версиях с 4.0.0 до 5.3.50, приводит к Cross-Site Scripting (XSS) [fix]. 🐛 CVE-2026-107806, обнаруженная в Nginx UI в версиях с 2.3.8 до 2.5.0, приводит к Remote Code Execution (RCE) [fix].

Разыгрываем 10 билетов на Kuber Conf от АОТ! Kuber Conf от АОТ — первая в России некоммерческая конференция Kubernetes-сообщества, объединяющая ведущих экспертов отрасли. Недавно АОТ сформировала Экспертный совет, в который вошёл Никита Ладошкин, руководитель разработки PT Container Security. Чтобы принять участие в розыгрыше: → подпишитесь (если не подписаны) на наш чат @pt_containersecurity → поставьте реакцию на этот пост 19 октября случайным образом выберем 10 победителей. Каждый получит промокод на бесплатный билет! Участников: 10 Призовых мест: 10 Дата розыгрыша: 16:00, 19.10.2026 MSK (7 дней) [Участвовать] (текст-версия)

Админ в отпуске — как муж вайбкодер. Только горе — не в семье с растущими детьми, а в POSIdev с запоздалыми мемами 🙈 Всем прекрасного вечера и чудесных выходных! 🤗

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-103263, обнаруженная в Tornado в версиях до 6.5.9, приводит к Path Traversal [fix]. 🐛 CVE-2026-103588, обнаруженная в QloApps в версиях до 1.7.0 включительно, приводит к Cross-Site Scripting (XSS) [fix]. 🐛 CVE-2026-103056, обнаруженная в AiSOC в версиях с 7.2.0 до 12.0.0, приводит к OS Command Injection [fix]. 🐛 CVE-2026-62308, обнаруженная в Tugtainer в версиях до 1.30.6, приводит к Server-Side Request Forgery (SSRF) [fix]. 🐛 CVE-2026-86035, обнаруженная в Weblate в версиях с 4.11.1 до 2026.8, приводит к OS Command Injection [fix].

AppSec-шоу: «Поле уязвимостей» Крути барабан. Найди уязвимость. Задеплой фикс. 📅 7 октября, 17:00 📍 Офис Positive Technologies, 15 этаж, конференц-зал. Для прохода нужен паспорт. Команда PT Application Inspector приглашает пользователей PT AI на закрытый офлайн-митап, где AppSec и ИИ встретятся в одной игре. Сначала - вопросы и доклад про AI-триаж. Затем игру сломают у нас на глазах и нам придется открыть IDE и PT AI, найти причину и исправить уязвимость в коде. Обсудим реальные кейсы, ограничения AI, триаж и развитие PT Application Inspector.  Можно задавать неудобные вопросы. Особенно технические. Кому будет полезна встреча: AppSec-инженерам, Security Чемпионам, DevOps-специалистам, архитекторам безопасности и ведущим разработчикам. Если вы ежедневно работаете с AppSec-инструментами и готовы обсуждать, как они должны развиваться — будем рады видеть вас на встрече. Присоединяйтесь!

Администрация выражает искреннюю радость всем тем, кому вечером пятницы НЕ прилетело сообщение «подключись на звонок, это срочно». И не менее искренние соболезнования всем остальным 🤗 Первым — классного завершения пятницы, всем вместе — чудесных выходных 🤗

Запускаем BlueSec - открытое соревнование AI-агентов по расследованию инцидентов. Задачи выглядят так: агент начинает с одной улики, например с алерта о подозрительном процессе. Дальше все как у аналитика SOC: он запрашивает события, ищет связи и шаг за шагом восстанавливает картину атаки. Как участвовать: 🟥Зарегистрируйся на сайте соревнований. 🟥Подготовь агента. Если не хочешь собирать с нуля, на сайте уже есть наш базовый агент. Его можно взять за основу. Или собери на любой модели, никаких ограничений нет. 🟥Тренируй агента на задачах онлайн этапа до 10 октября 🟥Участвуй в соревновании 10 октября в Москве на Котельной №9, в нашем питерском офисе и онлайн Чат соревы • Подробности на Хабре

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-100520, обнаруженная в Laranode в версиях до 1.2.1, приводит к Path Traversal [fix]. 🐛 CVE-2026-61741, обнаруженная в http4s-scala-xml в версиях до 0.24.1, приводит к XML External Entity (XXE) [fix]. 🐛 CVE-2026-100368, обнаруженная в CliInvoke.Specializations в версиях до 2.8.5, приводит к OS Command Injection [fix]. 🐛 CVE-2026-57170, обнаруженная в compliance-trestle в версиях до 3.12.4, приводит к Server-Side Template Injection (SSTI) [fix]. 🐛 CVE-2026-56738, обнаруженная в phpMyFAQ в версиях до 4.1.6, приводит к SQL Injection [fix].

Объяснили с Раддой Юрьевой на Хабре, почему смешивать формальные и ИИшные подходы в задачах анализа кода, не только можно, но и нужно. #LLM · #ИИ_мнения · #SAST

А вы уже одной ногой в выходных? Если до сих пор нет, это непростительная ошибка. Очень важный шаг, его надо сделать поскорее, не тяните 🙂 Всем остальным — чудесно провести время сегодня и от души отдохнуть следующие пару дней 🤗

🔍 Наиболее интересные уязвимости 🐛 CVE-2026-94106, обнаруженная в getID3 в версиях до 1.9.26, приводит к OS Command Injection [fix]. 🐛 CVE-2026-93988, обнаруженная в QloApps в версиях до 1.7.0 включительно, приводит к Path Traversal [fix]. 🐛 CVE-2026-93426, обнаруженная в SigNoz в версиях с 0.87.0 до 0.142.0, приводит к SQL Injection [fix]. 🐛 CVE-2026-77386, обнаруженная в Kyoo в версиях до 5.1.0, приводит к Open Redirect [fix]. 🐛 CVE-2026-71537, обнаруженная в Paymenter в версиях до 1.5.7, приводит к Race Condition [fix].