סיפור די חריג סביב Citrix NetScaler 🤔

מאתמול מנהלי מערכות בהולנד ובחלקים נוספים באירופה מדווחים שהם קיבלו הוראה לכבות מיידית שרתי NetScaler - לא לעדכן, לא לשנות הגדרה - לכבות. לפי כמה מהדיווחים, ההנחיה עברה דרך גופי CERT וספקי אבטחה שמקבלים מידע מ-NCSC ההולנדי.

הסיבה לפי המידע שדלף החוצה היא שתי חולשות Zero-Day חדשות ב-NetScaler שמאפשרות RCE ונמצאות כבר בניצול פעיל. כרגע אין להן CVE פומבי, אין advisory רשמי של Citrix, אין IOC פומבי ואין patch.

ב-Tenable מאשרים שהמידע שקיבלה מצביע על שתי חולשות נפרדות ולא על CVE-2026-19489 ו-CVE-2026-19490 שכבר פורסמו ותוקנו באוגוסט.

ב-11 בספטמבר נכנסה לתוקף חובת הדיווח של ה-EU Cyber Resilience Act. יצרנים שמגלים חולשה שנמצאת בניצול פעיל צריכים לשלוח התראה ראשונית בתוך 24 שעות ודיווח מלא בתוך 72 שעות דרך המערכת של ENISA. וזה כנראה מה שיצר את הסיטואציה שבה גורמי ממשל וספקים יודעים שיש אירוע חמור אבל הציבור ומנהלי מערכות עיוורים. 👏

אין כרגע אישור פומבי ש-NCSC-NL הפעיל את החוק ואז הורה לכל גופי הממשלה לכבות NetScaler. זאת המסקנה שמסתובבת על בסיס ההתרעות הסגורות והדיווחים של מנהלי המערכות. גם Citrix וגם NCSC-NL עדיין לא פרסמו הודעה רשמית על שתי החולשות החדשות.

אם אתם עם NetScaler חשוף לאינטרנט, זה כנראה שבוע רע להיות בו on-call... לפי Tenable, ה-patch צפוי בתחילת השבוע. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

עדכון לסיפור ה-NetScaler, ב-Citrix סוף סוף דיברו והמצב רע... 😅

לא שתי חולשות, אלא שמונה. שתיים מהן, CVE-2026-88771 ו-CVE-2026-88772 קיבלו ציון 9.5 וכבר נצפו בניצול פעיל נגד ארגונים. הראשונה מאפשרת לתוקף לא מזוהה להריץ פקודות מרחוק והיא משפיעה על כל NetScaler ADC ו-NetScaler Gateway והשנייה היא חולשת זיכרון שיכולה להוביל ל-RCE או להפלת השרת ורלוונטית כש-DTLS פעיל ובשרתי VPN הוא מופעל כברירת מחדל.

ב-Citrix כבר הוציאו תיקונים ודורשים לעדכן בהקדם:
14.1-73.37 ומעלה
13.1-64.23 ומעלה
ב-FIPS 14.1-73.37 ומעלה
ב-FIPS/NDcPP 13.1.37.279 ומעלה

אבל יש קאץ': ב-13.1-64.23 יש באג שיכול להכניס את המכשיר ללופ של אתחולים בזמן השדרוג. אפשר לבדוק עם show ns variable - אם חוזרת רשימת משתנים, Citrix ממליצה לדלג ישר ל-13.1-64.24.

למי שחושב שכבר חטף, Citrix מוסיפה בדיקות IOC דרך NetScaler Console. בקיצור, מי שיש לו NetScaler, לעדכן עכשיו. 🔫

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

אנדרואיד פתוח זה לא פיצ'ר - זאת כל הפואנטה של אנדרואיד 😏

ב-Google מתכננים להקשיח החל מ-2027 את היכולת להתקין אפליקציות ממפתחים שלא עברו רישום ואימות מולה, גם מחוץ ל-Play Store. זה אומר שמפתחים יצטרכו להירשם, להזדהות, להסכים לתנאים של Google ולשייך אליה את האפליקציות שלהם כדי שמשתמשים רגילים יוכלו להתקין אותן. הטיעון של Google הוא אבטחה אבל הבעיה היא שהמשמעות הרחבה יותר היא עוד שכבה שבה חברה אחת מחליטה איזה קוד מותר לכם להריץ על מכשיר שאתם קניתם.

וכן, Google משאירה מסלול להתקנת אפליקציות לא מאומתות אבל לפי התהליך שמתואר כרגע, מדובר במסלול דרך Developer Mode, אזהרות, המתנה של 24 שעות ואישורים נוספים. ה-F-Droid, GrapheneOS, Tor Project, EFF, Proton, LineageOS, VideoLAN, Brave ועוד עשרות ארגונים כבר חתמו על המכתב הפתוח נגד המהלך. לא חייב להיות אנטי Google כדי להבין את העיקרון שאם המכשיר שלכם, אתם צריכים להיות אלה שמחליטים איזו תוכנה רצה עליו.

מי שחושב ש-Android צריך להישאר פלטפורמה פתוחה - זה מקום טוב להתחיל ממנו 🔫 https://keepandroidopen.org/.

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

גנבים בקליפורניה ראו שני נגררים עם לוגואים של Nvidia ו-PlusAI וחשבו שהם עומדים לעשות את הקופה של חייהם 😅

הם חיברו אליהם משאיות, שברו את המנעולים ונעלמו. אחרי שפתחו את המטען חיכתה להם הפתעה - 18 טון של חול. החול שימש את PlusAI כמשקל מדומה לבדיקות של מערכת הנהיגה האוטונומית שלה.

הנגררים נמצאו נטושים לא רחוק משם עם החול בפנים. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

הסאגה של ShinyHunters וה-FBI מקבלת עוד כמה חתיכות פאזל ואיכשהו היא נהיית יותר מוזרה 🍿

🔠 חלק א
🔠 חלק ב

בהולנד נעצר לפני כשבועיים חשוד במסגרת החקירה נגד ShinyHunters. המשטרה אישרה שמדובר בגבר בן 24 מאמסטרדם ולא פרסמה את השם אבל לפי מקורות של Krebs ורויטרס מדובר ב-Pepijn van der Stap, האקר הולנדי שכבר הורשע בעבר ופעל תחת היוזר Umbreon, הוא שוחרר מהכלא רק בדצמבר האחרון וחזר לעבוד באבטחת מידע. כמה ימים אחרי המעצר ShinyHunters פרצו ל-FBIJobs והשאירו שם ציור ענק של Umbreon. לפי מקורות של Krebs יש סכסוך פנימי סביב השליטה בשם ShinyHunters וכנראה שהשימוש ב-Umbreon היה ניסיון להפיל את האירוע על Van der Stap. זאת טענה של מקורות ולא מסקנה רשמית של המשטרה, ShinyHunters מן הסתם מכחישים לחלוטין שהוא קשור אליהם.

במקביל קיבלנו גם תשובה חלקית לשאלה הטכנית מהפוסטים הקודמים. Google ו-Mandiant מאשרות ש-ShinyHunters ממשיכים לנצל את CVE-2026-35273 ב-Oracle PeopleSoft ואפילו מצאו דרך די מגוחכת לעקוף WAFים שחברות שמו במקום patch: במקום /PSEMHUB/ הם שולחים /%50SEMHUB/ וה-WAF רואה מחרוזת אחרת, WebLogic מפענח את %50 חזרה ל-P והבקשה מגיעה בדיוק לאותו רכיב פגיע. והתוצאה היא קמפיין רחב שכבר פגע בעשרות מערכות בעולם - ממשל, בריאות, תחבורה, טכנולוגיה ואוניברסיטאות. בחלק מהמקרים הם בכלל עובדים בלי לכתוב קובץ לדיסק, לפעמים משאירים Web Shells, את SIDEEYE על Windows או MeshAgent על Linux.

ועוד עדכון קטן שסוגר את ה"אולטימטום" ל-FBI: ב-ShinyHunters אומרים עכשיו שמעולם לא התכוונו לפרסם או למכור את המידע שלטענתם גנבו. מבחינתם כל האירוע היה "marketing campaign" שנועד להכריח את ה-FBI והתקשורת לדבר על הטענות שלהם. "Nothing will happen" כששבוע האולטימטום ייגמר (לא שזה כבר יעזור להם). 🐓

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Nvidia החליטו שאם סוכני AI כבר יודעים לברוח מהסנדבוקס, הגיע הזמן לשים שומר מחוץ לסנדבוקס 😏

החברה השיקה את Open Agent Safety Platform - מערכת פתוחה שנועדה לשלוט בסוכני AI בזמן אמת ולחתוך להם את הגישה ברגע שהם מתחילים לעשות דברים שלא נתנו להם רשות לעשות. הרעיון בנוי משתי שכבות - OpenShell עוטף את הסוכן בגבולות קשיחים ומחליט לאילו קבצים, API, Credentials ומערכות מותר לו להגיע. הוא מותאם למעבדי Vera של Nvidia, אבל הקוד פתוח ואפשר להרחיב אותו גם לפלטפורמות אחרות. מעליו יושב Sentry על BlueField-4 DPU נפרד - שומר מחוץ לסביבה של הסוכן שמנטר את ההתנהגות שלו ויכול לבודד ולעצור אותו אם הוא מנסה לצאת מהגבולות. 👮

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

הכל לפי התכנון:
1.מחשבון שפותר תרגילים שהוא רואה 💸
2.מכונת זמן להעביר לעצמי בכיתה י"א 🚗

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

האינטרנט החליט לעשות ל-Flock Safety שיעור בפרטיות 😎

חברת Flock היא זאת שמפזרת בארה"ב מצלמות ALPR שקוראות לוחיות רישוי ובונות מאגר שאפשר לחפש בו איפה ומתי רכב נצפה. הטכנולוגיה שלה נמצאת אצל אלפי גופי אכיפה ב-49 מדינות והמנכ"ל Garrett Langley אמר שהדיון לא צריך להיות פרטיות או ביטחון אלא פשרה בין השניים. 😏

אנשים שמו לב שהבית שמיוחס לו ברשת מטושטש ב-Google Street View. משם האינטרנט עשה אינטרנט - מאות משתמשים סימנו את הנכס ב-Google Maps כ-Public Toilet. 🚽

החברה שמבקשת מהציבור להתפשר קצת על הפרטיות מגלה שהאינטרנט מאוד מתעניין בפרטיות של המנכ"ל שלה. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ה-PS5 קיבל Jailbreak שמכסה טווח די מטורף של גרסאות 👀

ה-Relapse פורסם ב-GitHub ומאפשר להריץ קוד לא חתום על PS5 ו-PS5 Pro עם Firmware מ-7.00 ועד 13.60 כולל גישה ברמת Kernel והרצה של Homebrew וכלים כמו etaHEN. לפי ההדגמות במקום לחכות עשרות דקות כמו בחלק מהשיטות הקודמות, ההפעלה יכולה לקחת כמה שניות. הוא לא קבוע - כל Restart מחזיר את הקונסולה למצב רגיל וצריך להפעיל את ה-Jailbreak מחדש.

בפעם אחת קפצנו מ-Jailbreaks לגרסאות ישנות לכיסוי של קונסולות שהיו מעודכנות עד יולי האחרון. 😏

ב-Sony בטח ממש נהנית מהשבוע הזה 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

עכשיו גם Claude נכנס למעקב 👀

מפתח בשם ninjahawk הקים את livenerf - בנצ'מרק פתוח שנועד לבדוק משהו שמשתמשים מתווכחים עליו כבר שנים: האם מודל יוצא חזק ביום ההשקה ואז כמה ימים או שבועות אחר כך הופך לפחות טוב.

ה-Claude Opus 5.5 יצא ב-22 בספטמבר והמדידות התחילו יומיים אחר כך. מתוך מאגר גדול של שאלות נבחרו 78 משימות שבהן המודל לא תמיד מצליח ולא תמיד נכשל שזהבדיוק האזור שבו אפשר לזהות ירידה אמיתית בביצועים.

המדד שאולי הכי מעניין הוא בכלל לא הציון אלא כמות הטוקנים שהמודל מוציא. אם Anthropic תשנה בשקט את כמות החשיבה שמקבלים מאחורי אותו שם זה יכול להופיע שם עוד לפני שהדיוק מתחיל לרדת.

המחבר מבטיח לדווח על שיפור בדיוק באותה צורה שבה ידווח על הידרדרות. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

חצי מיליון Credentials פעילים יושבים ב-GitHub הפומבי וחלקם שם כבר יותר מעשור 🔑

ב-Truffle Security סרקו snapshot של יותר מ-224 מיליון repositories ציבוריים ומצאה 1.1 מיליון חשיפות של Secrets, כשהחוקרים בדקו אותם מול השירותים עצמם ביולי השנה - 543,699 Credentials ייחודיים עדיין עבדו.

מתוכם כמעט 200 אלף מה-Credentials פורסמו אחרי ש-GitHub כבר הפעילה Push Protection כברירת מחדל. ההגנה כן עובדת ומפחיתה דליפות מסוגים שהיא מזהה אבל היא לא מכסה הכל.

בראש הרשימה יש 69,041 Credentials של Google Cloud Service Accounts, יותר מ-51 אלף MongoDB connection strings ו-33,343 Google API keys שעדיין עובדים.

בקיצור, למחוק API key מה-commit זה נחמד, לבטל אותו זה החלק החשוב. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ילד בן 16 מצא דרך להפוך ל-admin בשירות פנימי של Microsoft שמחובר לכמות הזויה של מידע 😏

החוקר Faav מצא בעזרת בוט ה-AI שלו Antares API ציבורי של Titan - מערכת אנליטיקה פנימית של Microsoft. ה-API קיבל JWT, בדק את השדות שבתוכו אבל לא וידא שמישהו באמת חתם עליו. Faav יצר Token לא חתום, הכניס admin במקום המשתמש והמערכת מיפתה אותו לחשבון המקומי מספר 1 עם הרשאות Administrator, משם נפתחה גם האפשרות להריץ SQL.

מאחורי הגישה הזאת היו בערך 25 אלף חשבונות, כמעט 18 אלף כתובות מייל של עובדים, מאות אלפי גרפים ו-17 בסיסי נתונים עם היקף מוערך של כ-17.3 טריליון שורות. ב-Microsoft קיבלו את הדיווח, סגרו את הגישה וקנו לבחור סוכריה על מקל ושילמו לבחור Bug Bounty של 5,000 דולר. 🍭

לפעמים כל מה שחסר ל-Agent המתוחכם זה ילד בן 16 שישאל "רגע, ניסית admin?" 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

עוד סיפור על הדור הצעיר 🙂

ב-Europol חושפים מבצע בינלאומי נגד KillSec והחשוד כמפעיל ראשי של הקבוצת כופרה הוא בחור בן 16. במסגרת Operation KillSwitch הרשויות השתלטו על אתר ההדלפות של הקבוצה, חמישה שרתים מרכזיים ולפחות 110 טרה-בייט של מידע שנגנב מקורבנות.

שלושה חשודים נעצרו ושמונה נכסים נערכו בחיפושים בספרד, יוון, רומניה ובריטניה, הבחור בן ה-16 נעצר באליקנטה והוא אזרח רומני. מפתח נוסף של הקבוצה חגג 18 באוגוסט.

קבוצת KillSec פעילה מ-2024 ומקושרת לכ-1,000 תקיפות ברחבי העולם, בערך 500 מהן זוהו כמוצלחות. 🔫

בקרוב בבתי ספר יצטרכו להוסיף שיעור "אל תקים RaaS בהפסקה"... 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Proton Mail מסתבכים עם spoofing די מביך 😏

חוקר דיווח כבר בפברואר 2025 על דרך לגרום למייל מזויף להיראות כאילו הגיע מכתובת לגיטימית, דרך Display Name מטעה וכתובות שנראות כמעט זהות בעין. הבעיה יכולה להפוך phishing ו-BEC להרבה יותר משכנעים, במיוחד כשאין אזהרה למשתמש. ב-Proton אישרו את הדיווח ושילמו bounty של 100 דולר, אמרו שיטפלו בזה. 17 חודשים אחרי החוקר בדק שוב והבעיה עדיין קיימת.

בשביל חברה שכל המיתוג שלה בנוי על אבטחה ופרטיות, לא לטפל בכזאת שטות מעל שנה... שלא נדבר על לשלם 100$ על חולשה כשהיא תורמת 100,000$ להייפ הפלסטליני... 💩

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ה-Raspberry Pi ממשיך להתייקר ↗️

החברה מעלה שוב מחירים בגלל העלייה במחירי הזיכרון:

🔠 ה-Raspberry Pi 5 עם 2GB עולה מ-$65 ל-$77.50

🔠 ה-Raspberry Pi 4 עם 2GB עולה מ-$55 ל-$67.50

זאת כבר העלאת המחירים השלישית השנה. ה-Pi 5 2GB שהושק ב-2024 ב-$50 בתור האופציה הזולה, כבר התייקר ביותר מ-50%. החברה מודה שהמצב בשוק הזיכרון פשוט הפך את המחיר הקודם ללא אפשרי וממליצה למי שלא צריך הרבה כוח לשקול Pi 3 או להסתפק בכמה שפחות RAM. דגמי ה-1GB נשארים כרגע באותו מחיר. הם גם מבטיחים שאם מחירי הזיכרון ירדו המחירים של ה-Pi ירדו איתם.

המחשב הקטן והזול לניסויים עדיין קטן אבל על הזול כבר אפשר להתחיל להתווכח. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

יש גם את מי שמנסה לפתור את מחסור האחסון דרך הגדלת הייצור ולא דרך העלאת מחירים 😅

ב-Toshiba מתכננים להכפיל עד שנת הכספים 2027 את כושר הייצור של כונני HDD לדאטה-סנטרים, עם השקעה של כ-380 מיליון דולר במפעל שלה בפיליפינים. היום היא מחזיקה קצת יותר מ-10% משוק ה-HDD לפי נפח והמטרה היא להגיע לכ-30% בטווח הבינוני. החברה תוסיף קווי ייצור חדשים ותכניס יותר אוטומציה לבדיקות ולעבודה בחדרים הנקיים.

ויש גם Roadmap - דגמים עם עד 40% יותר נפח מהדור הנוכחי, ייצור המוני של כונני 65TB סביב 2030 ובהמשך גם יעד של 100TB לכונן. Toshiba כבר מתכננת במקביל כונני 40TB-class ל-2027.

אם חשבנו ש-HDD בדרך למוזיאון בגלל SSD, ה-AI מחזיר אותו חזק למשחק. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

🐟 חוקרי SEC Consult מצאו שתי חולשות בשרתי המייל של Apple שאפשרו לשלוח מייל כאילו הוא הגיע מכל כתובת icloud.com שרוצים

ההודעות עברו SPF, DKIM ו-DMARC בהצלחה. הבעיה הייתה בהבדלים בדרך שבה שרתי iCloud מפרשים את שדה ה-From, החוקרים הצליחו לגרום לשרת אחד לאשר כתובת לגיטימית בזמן שהשרת הבא בשרשרת ראה כתובת שולח אחרת לגמרי.

אחרי אחד התיקונים הראשונים, החוקרים גילו ש-Apple בעצם חסמה את המחרוזת "admin" במקום לסגור את שורש הבעיה. אז הם פשוט עברו ל-security@icloud.com והמשיכו הלאה. 😅

כל תהליך הדיווח והתיקון נמשך בערך שנה וחצי ובסוף Apple שילמה לחוקרים $15,000 במסגרת ה-Bug Bounty. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ה-Meta Muse הצליח להפוך מעוזר AI ל-backdoor מושלם 😏

ה-Muse זה סוכן אישי חדש של Meta שמקבל הרשאות למחשב ולשירותים כדי לבצע משימות במקום המשתמש.

חוקר האבטחה Patrick Wardle מצא שבגרסת ה-Mac הייתה הגדרה נסתרת שקבעה לאיזה שרת נשלחים פקודות הקול. כל תהליך מקומי היה יכול לשנות אותה בלי הרשאות מיוחדות, להפנות את התעבורה לשרת של התוקף ולקבל בדרך גם את ה-token של Muse.

מכאן התוקף יורש את מה שכבר אושר ל-Muse, בהדגמה Wardle הצליח לכתוב קבצים למחשב, לצלם דרך מצלמת ה-Mac ובאמצעות מכשירים שמחוברים לאותו חשבון גם לבקש מיקום של iPhone ולהפעיל סריקת Bluetooth.

זה לא RCE מרחוק על Mac, התוקף עדיין צריך קודם לגרום לקוד לרוץ, דרך איזה malware או טריק בסגנון ClickFix אבל מהרגע שזה קרה הוא לא צריך לבקש שוב הרשאה למצלמה, לקבצים או למיקום - Muse כבר קיבל אותן בשבילו.

ב-Meta תיקנו את החולשה אבל הסיפור הזה מדגים את הבעיה החדשה עם Agents: ככל שנותנים להם יותר הרשאות כדי שיהיו שימושיים, ככה הם הופכים למטרה הרבה יותר מעניינת לתוקף. 😏

🔠 ה-PoC של Patrick Wardle ב-GitHub.

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

קניתם CPU יד שנייה? מסתבר שהוא יכול להגיע עם עבר פלילי 😅

גיימר גרמני קנה Ryzen 7 5800X3D משומש, המעבד עבד מצוין עד שהוא הפעיל Valorant וקיבל VAN 152. לפי ההתכתבות שלו עם התמיכה, ה-CPU היה חלק ממחשב שקיבל HWID ban ב-12 באוגוסט בגלל צ'יטים אצל הבעלים הקודם.

בתמיכה סירבו להסיר את החסימה והבחור כתב שבעקבות המעבד החסום גם רכיבים נוספים במחשב שלו נכנסו ל-blacklist. ה-VAN 152 היא חסימת Hardware ID שבדרך כלל נמשכת בערך ארבעה חודשים ולא נעלמת בהתקנה מחדש של המשחק.

בקיצור, כשקונים חומרה יד שנייה כבר לא מספיק לשאול אם היא עברה OC או מיינינג, צריך כנראה גם לשאול אם היא עשתה wallhack. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

אפשר להגיע להרצת קוד על מחשב של סטרימר עם הודעה בצ'אט של Twitch 😳

חוקר מ-Orange Cyberdefense מצא overlay ל-OBS שנבנה בצורה עקומה והכניס הודעות מהצ'אט כ-HTML בלי sanitization. מבחינת הצופה זאת רק הודעה אבל בתוך ה-Browser Source של OBS היא כבר יכולה להפוך ל-JavaScript. מכאן מגיע החלק היותר בעייתי, OBS 32.2.2 השתמש ב-Chromium 127 עם גרסת V8 שפגיעה ל-CVE-2024-7971 ובנוסף ה-Chromium המובנה של OBS רץ בלי ה-sandbox הרגיל. החוקרים חיברו את הכל והדגימו מעבר מהודעה בצ'אט להרצת קוד על Windows.

צריך שהסטרימר כבר ישתמש ב-overlay פגיע שמכניס תוכן של צופים כ-HTML אבל עם כמות ה-overlays הביתיים וה-vibecoding שרצים היום זאת לא דרישה דמיונית. ב-OBS כבר עובדים על שדרוג Chromium והחזרת ה-sandbox. עד אז, אם בניתם widget לצ'אט - תוכן של משתמש הוא טקסט, לא HTML. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community