تمام نوشته‌های برچسب‌خورده با "زنجیره تأمین نرم‌افزار"
یک آسیب‌پذیری تازه‌کشف‌شده در FFmpeg با نام «PixelSmash» می‌تواند برای اجرای کد از راه دور روی سرورهای Jellyfin در شرایط خاص مورد سوءاستفاده قرار گیرد و همچنین می‌تواند حملات انکار سرویس را در برنامه‌هایی مانند Kodi، Emby، Nextcloud، PhotoPrism و OBS Studio ایجاد کند.
محققان امنیت سایبری مجموعه جدیدی از بسته‌های آلوده را شناسایی کرده‌اند که توسط عوامل مخرب برای توزیع یک کرم خودانتشار استفاده می‌شوند؛ این کرم از طریق توکن‌های npm سرقت‌شده توسعه‌دهندگان منتشر می‌شود. این کرم زنجیره تامین توسط Socket و StepSecurity شناسایی شده و فعالیت آن تحت نام CanisterSprawl ردیابی می‌شود.
109محققان امنیت سایبری یک ضعف بحرانی «ذاتی در طراحی» در معماری پروتکل زمینه مدل (MCP) کشف کرده‌اند که می‌تواند زمینه را برای اجرای کد از راه دور فراهم کرده و تأثیری زنجیره‌وار بر زنجیره تأمین هوش مصنوعی داشته باشد. این نقص امکان اجرای دستورات دلخواه (RCE) را بر روی هر سیستمی که پیاده‌سازی آسیب‌پذیر MCP را اجرا می‌کند فراهم می‌سازد و به مهاجمان دسترسی مستقیم می‌دهد.
آسیب‌پذیری بحرانی Langflow با شناسه CVE-2026-33017 در کمتر از ۲۰ ساعت پس از افشا مورد حمله قرار گرفت
یک نقص امنیتی بحرانی در Langflow در کمتر از ۲۰ ساعت پس از افشای عمومی، به طور فعال مورد بهره‌برداری قرار گرفته است. این آسیب‌پذیری با شناسه CVE-2026-33017 و امتیاز CVSS 9.3، ترکیبی از احراز هویت ناقص و تزریق کد است که می‌تواند منجر به اجرای کد از راه دور شود.
محققان امنیت سایبری چندین بسته مخرب را در اکوسیستم‌های npm، Python و Ruby شناسایی کرده‌اند که از Discord به عنوان کانال فرمان و کنترل (C2) برای انتقال داده‌های سرقت شده به وب‌هوک‌های تحت کنترل مهاجمان استفاده می‌کنند.
نوشته‌های ویژه
محققان امنیت سایبری اولین نمونه سرور پروتکل زمینه مدل (MCP) مخرب را کشف کرده‌اند که خطرات زنجیره تأمین نرم‌افزار را افزایش می‌دهد. بسته npm جعلی "postmark-mcp" کدهای مخربی داشت که کتابخانه رسمی Postmark Labs را کپی می‌کرد.
چندین بسته npm در قالب حمله زنجیره تأمین نرم‌افزار پس از به خطر افتادن حساب نگهدارنده در حمله فیشینگ دچار نفوذ شدند.
محققان امنیت سایبری مجموعه‌ای از 11 بسته مخرب Go را کشف کرده‌اند که برای دانلود بارهای اضافی از سرورهای راه دور و اجرای آن‌ها در سیستم‌های ویندوز و لینوکس طراحی شده‌اند.
عاملان تهدید کره شمالی مرتبط با کمپین Contagious Interview در حال انتشار مجموعه جدیدی از 67 بسته مخرب در رجیستری npm مشاهده شده‌اند که تلاش‌های مداوم برای مسموم کردن اکوسیستم متن‌باز از طریق حملات زنجیره تأمین نرم‌افزار را نشان می‌دهد.
چندین بسته مخرب در مخازن بسته‌های npm، Python و Ruby کشف شده‌اند که وجوه کیف پول‌های رمزارز را تخلیه می‌کنند، پس از نصب کل پایگاه‌های کد را پاک می‌کنند و توکن‌های API تلگرام را سرقت می‌کنند.
