CVE-2026-93328
Google Cloud · Google Cloud
פורסם:
תקציר מנהלים
חולשת CVE-2026-93328 ב-Google Cloud MCP Toolbox for Databases בגרסאות 1.2.0–1.4.0, בדירוג CVSS 9.3, משלבת Path Traversal והיעדר בדיקת הרשאות במקור cloud-storage ומאפשרת לתוקף מרוחק ללא הזדהות להדליף קבצים מהמארח ל-Google Cloud Storage buckets חיצוניים ולדרוס קבצים מקומיים, תוך סיכון לחשיפת מידע רגיש ולשיבוש פעילות עסקית. לא ידוע על ניצול בפועל; מומלץ לאתר מופעים פגיעים, לעדכן לגרסה מתוקנת כשזו זמינה, ובינתיים להשבית את המקור הפגיע או להגביל את הגישה אליו ולבדוק סימנים להעברות מידע ולשינויי קבצים חריגים.
תיאור טכני (מקור)
Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local files via crafted tool invocation parameters.
מקורות והנחיות
חולשות נוספות של Google Cloud
Google Cloud · Google Cloud
חולשת Bucket Squatting מסוג CVE-2026-85297 ב-Google Cloud Run MCP בגרסאות הקודמות ל-1.11.0, בדירוג CVSS 7.7, מאפשרת לתוקף ליירט קוד מקור קנייני, להריץ קוד שרירותי ולהדליף נתונים, תוך סיכון לקניין הרוחני ולסודיות המידע העסקי. לא ידוע על ניצול החולשה בפועל, ומומלץ לשדרג בהקדם לגרסה 1.11.0 ומעלה.
Google Cloud · Google Cloud
חולשת מפתח AES קבוע המוטמע באפליקציית TTLock ל-Android בגרסאות שלפני v9.8.260718 ובקושחת המנעולים המשויכת מאפשרת לתוקף בטווח Bluetooth לצותת לתהליך BLE pairing, לשחזר מפתח גישה ולזייף פקודות לפתיחת מנעולים, הוספת אמצעי גישה ופעולות ניהול, תוך סיכון לחדירה פיזית בלתי מורשית; לא ידוע על ניצול בפועל. מומלץ לעדכן את האפליקציה לגרסה מתוקנת ואת הקושחה בהתאם להנחיות היצרן, להגביל ביצוע pairing לסביבה מבוקרת ולבחון החלפת מפתחות גישה לאחר התיקון.
Google Cloud · Google Cloud
חולשת עקיפת אימות ב-Snipe-IT בגרסאות שלפני 8.6.3 מאפשרת למשתמשים מושבתים, ששם המשתמש שלהם תואם לכתובת הדוא״ל של זהות Google פעילה, להתחבר דרך Google SSO בהרשאותיהם המקוריות, לרבות admin, ובכך לעקוף תהליכי ביטול גישה ולסכן מידע וניהול נכסים. מומלץ לשדרג ל-8.6.3 ומעלה, לוודא ביטול גישה גם ברמת ספק הזהויות ולבדוק התחברויות של חשבונות מושבתים; לא ידוע על ניצול בפועל.
Google Cloud · Google Cloud
חולשת Buffer Overflow ב־Google Brotli (CVE-2026-111497, CVSS 9.2) מאפשרת לתוקף מרוחק ללא הזדהות לנצל זרם דחוס זדוני לחשיפת מידע מהזיכרון, להשבתת שירותים ואף להרצת קוד אפשרית, ומסכנת את סודיות המידע ורציפות הפעילות; לא ידוע על ניצול בפועל. מומלץ למפות ספריות ורכיבי Brotli, לרבות תלויות עקיפות, ולאמת מול הודעת הספק את הגרסאות הפגיעות והמתוקנות בשל אי־התאמה בטווחי הגרסאות שדווחו, ואז לעדכן בדחיפות תוך תעדוף שירותים המעבדים תוכן ממקורות לא מהימנים.