CVE-2026-113344
Google Cloud · chrome
פורסם:
תקציר מנהלים
חולשת Use-after-free ברכיב Performance של Google Chrome בגרסאות הקודמות ל-156.0.8078.47 מאפשרת לתוקף מרוחק להריץ קוד בתוך ה-sandbox באמצעות דף HTML זדוני, ומסכנת תחנות קצה ארגוניות ללא יכולת מוכחת לפרוץ את גבולות ה-sandbox. מומלץ לעדכן בהקדם לגרסה 156.0.8078.47 ומעלה ולוודא פריסה בכל התחנות; לא ידוע על ניצול בפועל.
תיאור טכני (מקור)
Use after free in Performance in Google Chrome prior to 156.0.8078.47 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium)
מקורות והנחיות
חולשות נוספות של Google Cloud
Google Cloud · Google Cloud
חולשת Bucket Squatting מסוג CVE-2026-85297 ב-Google Cloud Run MCP בגרסאות הקודמות ל-1.11.0, בדירוג CVSS 7.7, מאפשרת לתוקף ליירט קוד מקור קנייני, להריץ קוד שרירותי ולהדליף נתונים, תוך סיכון לקניין הרוחני ולסודיות המידע העסקי. לא ידוע על ניצול החולשה בפועל, ומומלץ לשדרג בהקדם לגרסה 1.11.0 ומעלה.
Google Cloud · Google Cloud
חולשת CVE-2026-93328 ב-Google Cloud MCP Toolbox for Databases בגרסאות 1.2.0–1.4.0, בדירוג CVSS 9.3, משלבת Path Traversal והיעדר בדיקת הרשאות במקור cloud-storage ומאפשרת לתוקף מרוחק ללא הזדהות להדליף קבצים מהמארח ל-Google Cloud Storage buckets חיצוניים ולדרוס קבצים מקומיים, תוך סיכון לחשיפת מידע רגיש ולשיבוש פעילות עסקית. לא ידוע על ניצול בפועל; מומלץ לאתר מופעים פגיעים, לעדכן לגרסה מתוקנת כשזו זמינה, ובינתיים להשבית את המקור הפגיע או להגביל את הגישה אליו ולבדוק סימנים להעברות מידע ולשינויי קבצים חריגים.
Google Cloud · Google Cloud
חולשת מפתח AES קבוע המוטמע באפליקציית TTLock ל-Android בגרסאות שלפני v9.8.260718 ובקושחת המנעולים המשויכת מאפשרת לתוקף בטווח Bluetooth לצותת לתהליך BLE pairing, לשחזר מפתח גישה ולזייף פקודות לפתיחת מנעולים, הוספת אמצעי גישה ופעולות ניהול, תוך סיכון לחדירה פיזית בלתי מורשית; לא ידוע על ניצול בפועל. מומלץ לעדכן את האפליקציה לגרסה מתוקנת ואת הקושחה בהתאם להנחיות היצרן, להגביל ביצוע pairing לסביבה מבוקרת ולבחון החלפת מפתחות גישה לאחר התיקון.
Google Cloud · Google Cloud
חולשת עקיפת אימות ב-Snipe-IT בגרסאות שלפני 8.6.3 מאפשרת למשתמשים מושבתים, ששם המשתמש שלהם תואם לכתובת הדוא״ל של זהות Google פעילה, להתחבר דרך Google SSO בהרשאותיהם המקוריות, לרבות admin, ובכך לעקוף תהליכי ביטול גישה ולסכן מידע וניהול נכסים. מומלץ לשדרג ל-8.6.3 ומעלה, לוודא ביטול גישה גם ברמת ספק הזהויות ולבדוק התחברויות של חשבונות מושבתים; לא ידוע על ניצול בפועל.