Разбираем веб-платформу, браузеры, AI и безопасность: новости, обзоры и исследования команды FuriaHub.
CISA сообщает, что CVE-2026-60004 эксплуатируют на self-hosted Gitea: критическая инъекция кода в API diffpatch. Открытая по умолчанию регистрация позволяет неавторизованному посетителю создать аккаунт и репозиторий, а затем выполнять команды от пользователя gitea.
CVE-2026-73570 — неаутентифицированная командная инъекция в обработке SNMP-уведомлений от пользователя zimbra. CERT Polska видел её вживую. Федеральным ведомствам велели закрыть дыру до 24 августа.
В посте Daybreak 10 августа OpenAI написала, что узкообученная кибермодель нашла две неизвестные ошибки V8, которые сцепились в побег из heap-песочницы. Google закрыла это в Chrome 150.0.7871.128. С 1 сентября аккаунтам Daybreak нужны аппаратные ключи.
FuriaHub