CVE-2026-113128
Google Cloud · chrome
פורסם:
תקציר מנהלים
CVE-2026-113128 היא חולשת הרשאות ברכיב Animation ב-Google Chrome בגרסאות הקודמות ל-156.0.8078.47, המאפשרת לתוקף מרוחק לעקוף את מדיניות ה-Web Origin באמצעות דף HTML זדוני ועלולה להוביל לחשיפת מידע בין אתרים ולפגיעה בסודיות מידע ארגוני. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה 156.0.8078.47 ומעלה ולוודא את השלמת העדכון והפעלה מחדש של הדפדפן בתחנות הארגון.
תיאור טכני (מקור)
Missing authorization in Animation in Google Chrome prior to 156.0.8078.47 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium)
מקורות והנחיות
חולשות נוספות של Google Cloud
Google Cloud · Google Cloud
חולשת Bucket Squatting מסוג CVE-2026-85297 ב-Google Cloud Run MCP בגרסאות הקודמות ל-1.11.0, בדירוג CVSS 7.7, מאפשרת לתוקף ליירט קוד מקור קנייני, להריץ קוד שרירותי ולהדליף נתונים, תוך סיכון לקניין הרוחני ולסודיות המידע העסקי. לא ידוע על ניצול החולשה בפועל, ומומלץ לשדרג בהקדם לגרסה 1.11.0 ומעלה.
Google Cloud · Google Cloud
חולשת CVE-2026-93328 ב-Google Cloud MCP Toolbox for Databases בגרסאות 1.2.0–1.4.0, בדירוג CVSS 9.3, משלבת Path Traversal והיעדר בדיקת הרשאות במקור cloud-storage ומאפשרת לתוקף מרוחק ללא הזדהות להדליף קבצים מהמארח ל-Google Cloud Storage buckets חיצוניים ולדרוס קבצים מקומיים, תוך סיכון לחשיפת מידע רגיש ולשיבוש פעילות עסקית. לא ידוע על ניצול בפועל; מומלץ לאתר מופעים פגיעים, לעדכן לגרסה מתוקנת כשזו זמינה, ובינתיים להשבית את המקור הפגיע או להגביל את הגישה אליו ולבדוק סימנים להעברות מידע ולשינויי קבצים חריגים.
Google Cloud · Google Cloud
חולשת מפתח AES קבוע המוטמע באפליקציית TTLock ל-Android בגרסאות שלפני v9.8.260718 ובקושחת המנעולים המשויכת מאפשרת לתוקף בטווח Bluetooth לצותת לתהליך BLE pairing, לשחזר מפתח גישה ולזייף פקודות לפתיחת מנעולים, הוספת אמצעי גישה ופעולות ניהול, תוך סיכון לחדירה פיזית בלתי מורשית; לא ידוע על ניצול בפועל. מומלץ לעדכן את האפליקציה לגרסה מתוקנת ואת הקושחה בהתאם להנחיות היצרן, להגביל ביצוע pairing לסביבה מבוקרת ולבחון החלפת מפתחות גישה לאחר התיקון.
Google Cloud · Google Cloud
חולשת עקיפת אימות ב-Snipe-IT בגרסאות שלפני 8.6.3 מאפשרת למשתמשים מושבתים, ששם המשתמש שלהם תואם לכתובת הדוא״ל של זהות Google פעילה, להתחבר דרך Google SSO בהרשאותיהם המקוריות, לרבות admin, ובכך לעקוף תהליכי ביטול גישה ולסכן מידע וניהול נכסים. מומלץ לשדרג ל-8.6.3 ומעלה, לוודא ביטול גישה גם ברמת ספק הזהויות ולבדוק התחברויות של חשבונות מושבתים; לא ידוע על ניצול בפועל.