CVE-2026-106195
Google Cloud · chrome
פורסם:
תקציר מנהלים
CVE-2026-106195 היא חולשת הרשאות ב-Chromoting ב-Google Chrome על Mac בגרסאות הקודמות ל-155.0.8059.39, המאפשרת לתוקף מרוחק לעקוף מגבלות גישה למערכת באמצעות תעבורת רשת ייעודית ולסכן משאבים ארגוניים. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה המתוקנת ומעלה ולבחון את חשיפת Chromoting, תוך אימות הפער בין ציון CVSS 9.1 שסופק לבין דירוג החומרה Low של Chromium.
תיאור טכני (מקור)
Incorrect authorization in Chromoting in Google Chrome on on Mac prior to 155.0.8059.39 allowed a remote attacker to bypass system access restrictions via crafted network traffic. (Chromium security severity: Low)
מקורות והנחיות
חולשות נוספות של Google Cloud
Google Cloud · Google Cloud
חולשת Bucket Squatting מסוג CVE-2026-85297 ב-Google Cloud Run MCP בגרסאות הקודמות ל-1.11.0, בדירוג CVSS 7.7, מאפשרת לתוקף ליירט קוד מקור קנייני, להריץ קוד שרירותי ולהדליף נתונים, תוך סיכון לקניין הרוחני ולסודיות המידע העסקי. לא ידוע על ניצול החולשה בפועל, ומומלץ לשדרג בהקדם לגרסה 1.11.0 ומעלה.
Google Cloud · Google Cloud
חולשת CVE-2026-93328 ב-Google Cloud MCP Toolbox for Databases בגרסאות 1.2.0–1.4.0, בדירוג CVSS 9.3, משלבת Path Traversal והיעדר בדיקת הרשאות במקור cloud-storage ומאפשרת לתוקף מרוחק ללא הזדהות להדליף קבצים מהמארח ל-Google Cloud Storage buckets חיצוניים ולדרוס קבצים מקומיים, תוך סיכון לחשיפת מידע רגיש ולשיבוש פעילות עסקית. לא ידוע על ניצול בפועל; מומלץ לאתר מופעים פגיעים, לעדכן לגרסה מתוקנת כשזו זמינה, ובינתיים להשבית את המקור הפגיע או להגביל את הגישה אליו ולבדוק סימנים להעברות מידע ולשינויי קבצים חריגים.
Google Cloud · Google Cloud
חולשת מפתח AES קבוע המוטמע באפליקציית TTLock ל-Android בגרסאות שלפני v9.8.260718 ובקושחת המנעולים המשויכת מאפשרת לתוקף בטווח Bluetooth לצותת לתהליך BLE pairing, לשחזר מפתח גישה ולזייף פקודות לפתיחת מנעולים, הוספת אמצעי גישה ופעולות ניהול, תוך סיכון לחדירה פיזית בלתי מורשית; לא ידוע על ניצול בפועל. מומלץ לעדכן את האפליקציה לגרסה מתוקנת ואת הקושחה בהתאם להנחיות היצרן, להגביל ביצוע pairing לסביבה מבוקרת ולבחון החלפת מפתחות גישה לאחר התיקון.
Google Cloud · Google Cloud
חולשת עקיפת אימות ב-Snipe-IT בגרסאות שלפני 8.6.3 מאפשרת למשתמשים מושבתים, ששם המשתמש שלהם תואם לכתובת הדוא״ל של זהות Google פעילה, להתחבר דרך Google SSO בהרשאותיהם המקוריות, לרבות admin, ובכך לעקוף תהליכי ביטול גישה ולסכן מידע וניהול נכסים. מומלץ לשדרג ל-8.6.3 ומעלה, לוודא ביטול גישה גם ברמת ספק הזהויות ולבדוק התחברויות של חשבונות מושבתים; לא ידוע על ניצול בפועל.