Nyílt forráskódú üzleti platformok, 2026. 44. hét: hitelesítést nem igénylő SQL-befecskendezés és kódfuttatás a 39 biztonsági közlemény középpontjában

A kiadás röviden

A 2026. október 26. és november 1. közötti héten a WordPress, a GLPI, a Nextcloud, a Moodle, a Frappe/ERPNext, a Dolibarr és a Drupal karbantartói 39 sérülékenységi közleményt tettek közzé; ebből 16 rendelkezik CVE-azonosítóval, 23 pedig GitHub biztonsági közleményként (GHSA) jelent meg. Súlyosság szerint egy kritikus, 17 magas, 7 közepes és 14 pontszám nélküli hibáról van szó. Egyik sem szerepel a CISA KEV listáján, és a nyilvános közlemények egyiknél sem jeleznek aktív kihasználást.

A közlemények közül 12 a WordPresshez, 10 a GLPI-hez, 4-4 a Nextcloudhoz és a Moodle-hoz, 3-3 pedig a Frappe/ERPNexthez, a Dolibarrhoz és a Drupalhoz kapcsolódik. A legsürgősebb tételek a kritikus Frappe útvonal-bejárásos RCE, a GLPI hitelesítést nem igénylő SQL-befecskendezése és a WordPress Core szakaszos telepítőjét érintő RCE, amelyhez nem adtak meg javított verziót. A Dolibarr emellett operációsrendszer-parancs-befecskendezést is javít.

A legfontosabbak

Frappe/ERPNext — A CVE-2026-119145 kritikus útvonal-bejárási sérülékenység a fájlfeltöltési funkcióban (CVSS 4.0: 9,4). A hitelesített támadó a szándékolt tárolási könyvtáron kívülre is írhat fájlokat, és ezzel távoli kódfuttatást érhet el. A CVE-2026-119144 szerveroldali sablonbefecskendezés az üzenetmezőkben (8,7); egy szokásos üzemeltetési szerepkörrel rendelkező hitelesített felhasználó korlátozás nélküli környezetben kiértékelt sablonkifejezéseket illeszthet be. Mindkét CVE-ről külön riasztás szól ezen a webhelyen.

GLPI — A GHSA-753w-2942-4pxm hitelesítést nem igénylő, időalapú SQL-befecskendezés a tervezési funkcióban (8,7), javított verziója a 11.0.9. A GHSA-hv93-qr6v-7mpj versenyhelyzet, amely rosszindulatú bővítményarchívum telepítését teheti lehetővé (8,9); javított verziója a 10.0.27 vagy a 11.0.9. A többi magas súlyosságú GLPI-közlemény a jegyek szereplőiben, az eszköznevekben és a hálózati berendezések modelljeiben tárolt XSS-t, a jelszó-visszaállításon keresztüli MFA-megkerülést, tetszőleges fájlok törlését és rosszindulatú feltöltést tárgyal; a legtöbb hiba javított verziója a 11.0.9, néhány pedig a 10.0.27 verzióban is elérhető.

Dolibarr — A CVE-2026-116219 operációsrendszer-parancs-befecskendezés a htdocs/admin/tools/export.php mysqldump paraméterén keresztül (8,6). A hitelesített rendszergazda egy engedélyezőlistán szereplő alapnév köré & jellel további parancsokat fűzhet, és a webkiszolgáló felhasználójaként futtathat parancsokat; javított verziója a 24.0.0. Erről a CVE-ről külön riasztás szól ezen a webhelyen.

WordPress — A CVE-2026-119977 hitelesítést nem igénylő, a szakaszos telepítőn keresztüli távoli kódfuttatás a teljes csomagú törzsfrissítés időablakában (8,1). A közzétett cím szerint az érintett verziótartomány 4.7.0-tól 7.1.3-ig tart, és nem adtak meg javított verziót. Erről a CVE-ről külön riasztás szól ezen a webhelyen.

Javítási sorrend

1. Először telepítse a Frappe biztonsági javításait. A CVE-2026-119145 kritikus, és a Frappe 15.121.0, illetve 16.34.0 verziója javítja; a CVE-2026-119144 a Frappe 15.111.0, illetve 16.21.0 verziójában javított. Alkalmazza az adott telepítéshez illeszkedő frissítést.
2. Frissítse a GLPI-t. A GLPI 11.0.9 verziója javítja a hitelesítést nem igénylő SQL-befecskendezést, az MFA-megkerülést és a tárolt XSS-hibákat, amelyeket ezek a közlemények ismertetnek ebben a kiadásban. A GLPI 10.0.27 verzió a versenyhelyzet, a tetszőleges fájlok törlése és a rosszindulatú feltöltés hibáihoz van felsorolva; telepítse a telepítéshez illeszkedő frissítést.
3. Frissítse a Dolibarr-t a 24.0.0 verzióra a CVE-2026-116219 kezeléséhez.
4. A WordPress Core CVE-2026-119977 hibáját kezelje elkülönítve: nem áll rendelkezésre biztonsági javítás, és kerülő megoldást sem közöltek. Kísérje figyelemmel a WordPress kiadási csatornáit a javítás megjelenéséért.
5. Ezután telepítse a többi, közepes és pontszám nélküli frissítést a Moodle, a Drupal, a Nextcloud és a további WordPress-közlemények esetében, ahogyan a karbantartók közzéteszik a javításokat.

A javításon túl

A heti súlyos hibák többsége befecskendezéses vagy tetszőleges kódfuttatást lehetővé tevő sérülékenység, amelyeket egy penetrációs teszt és a védelmi beállítások felülvizsgálata még azelőtt felszínre hoz, mielőtt működési kockázattá válnának. Bevezetési és felmérési szolgáltatásaink tesztelik az ilyen befecskendezéses, deszerializációs és hitelesítési gyengeségeket. Mivel a kritikus Frappe-, GLPI- vagy Dolibarr-hibák sikeres kihasználása a támadó további tevékenységére utaló nyomokat hagyna, a menedzselt kiberbiztonsági felügyelet jelenti a biztonsági hálót a kódfuttatással és a hitelesítő adatokkal való visszaéléssel szemben a javítások telepítéséig.