تحديثات الإدخالات والتنبيهات التي تمت مراجعتها هذه المرة · 62
10/28 تأكد قرابة 04:00 / 11:00 JST التقرير رقم 13
GMO: مستجدات إيقاف نطاق موقع الجناة وإرشادات التعويض
أكد التقرير رقم 13 إيقاف نطاق موقع الجناة قرابة الساعة 04:00 من يوم 28 من شهر 10. لا يعني الإيقاف استرجاع المعلومات أو حذف نسخها أو اكتمال استعادة الخدمة. الحد الأقصى لمبلغ المواساة الخاص الوارد في التقرير رقم 12، وقدره 300 من وحدات العشرة آلاف ين، يخص برنامجاً مشروطاً، وليس إجمالي الخسائر أو المبالغ المدفوعة. يتضمن التقرير رقم 12 تعارضاً بين العنوان 19:10 وقسم تسلسل الأحداث 19:00.
ما ينبغي التحقق منه: تجنبوا الوصول إلى موقع الجناة أو المواد المسربة، وتحققوا من المراسلات الرسمية الفردية والبيئات البديلة وشروط التعويض. لا تستجيبوا للمراسلات التي تستغل الحادث لطلب بيانات الاعتماد أو رسوم.
المواد الأولية والمصادر: GMO第13報 / GMO第12報
10/28 12:30 JST تحديث
@link: اختبار نسخة تجريبية في بعض المؤسسات الطبية، وليس استئنافاً كاملاً
يشير تحديث يوم 28 من شهر 10 الساعة 12:30 إلى بدء الاستخدام التجريبي لنسخة سحابية تجريبية في بعض المؤسسات الطبية. يستمر توقف تطبيق المرضى والحجز عبر الويب والربط بالأنظمة الخارجية وغيرها. ما زال التأثير على أعمال الحجز بالمؤسسات الطبية مستمراً، ولا يزال عدد السجلات المشمولة بالتسريب قيد التحقيق.
ما ينبغي التحقق منه: تحققوا مباشرة من المؤسسة الطبية المعنية بشأن الحجز أو تغييره. ميزوا بين مواعيد الاستئناف ورد الأموال المخطط لها وما نُفذ فعلاً، وراجعوا إرشادات إعادة تعيين كلمة المرور عند الاستئناف.
المواد الأولية والمصادر: @link運営状況 / メドレー
10/28 00:19 JST الحالة
Railway: استمرار تعليق التسجيل الجديد، وموعد التقرير التالي بعد الوقت المرجعي
استمر تعليق التسجيل الجديد حتى في تحديث الحالة يوم 27 من شهر 10 الساعة 15:19 UTC، ولم يُحدد موعد الاستئناف. يجب التمييز بين استمرار عمليات النشر القائمة والأعطال في البناء ولوحة التحكم وغيرها. نحو 100,000 مساحة عمل وبحد أقصى 1.85% يمثلان النطاق المحتمل لتأثر متغيرات البيئة، وليس عدداً مؤكداً للأشخاص الذين تسربت بياناتهم.
ما ينبغي التحقق منه: ألغوا الأسرار القديمة وأعيدوا إصدارها لدى الجهات المصدرة، وأجروا تدقيقاً. لا تعتبروا الموعد المقرر التالي، يوم 28 من شهر 10 الساعة 16:00 UTC، استعادة تحققت عند الوقت المرجعي الحالي.
المواد الأولية والمصادر: Railway status / 公式予備報告
10/28 00:30 JST تحديث
Studio: من المقرر بدء استقبال البلاغات المشتركة أوائل شهر 11
لم يكن استقبال البلاغات المشتركة الموجهة إلى لجنة حماية المعلومات الشخصية قد بدأ في تحديث يوم 28 الساعة 00:30. لا يشمل البلاغ المشترك إخطار أصحاب البيانات. تأكدت قراءة مفاتيح التشفير وإمكانية الحصول على المعلومات من الخارج، لكن عدد السجلات التي حُصل عليها فعلياً لم يُحسم.
ما ينبغي التحقق منه: تحققوا من الاستخدام الفعلي لبيانات النماذج، وقرروا بصورة منفصلة بشأن إخطار أصحاب البيانات. ألغوا مفاتيح API الخارجية لدى جهاتها المصدرة. لا تعتبروا تحديث المفاتيح وحده نفياً لإمكانية الحصول على البيانات سابقاً.
المواد الأولية والمصادر: Studio公式ポータル
10/28 04:00:02 JST إصدار الفهرس
KEV: إضافة Brotli وAdobe Commerce، مع مراعاة الاستغلال المؤكد في ترتيب الأولويات
تتضمن نسخة CISA 2026.10.27 عدد 1,760 إدخالاً. أُضيف كل من CVE-2026-111497 وCVE-2026-48356، والمهلة هي يوم 10 من شهر 11. يؤكد ذلك استغلال الثغرات، ولا يعني اختراق جميع بيئات .NET وNode.js أو جميع التجار. لم تُذكر أعداد المتضررين أو الخسائر الفعلية.
ما ينبغي التحقق منه: تحققوا من الإصلاحات الخاصة بكل منتج، مثل Brotli 1.2.1 وNode.js 22.23.4 / 24.22.1 / 26.12.1. بالنسبة إلى Adobe، راجعوا تحديث يوليو التراكمي لكل إصدار في APSB26-73. لا تعتبروا مهلة KEV الخاصة بالوكالات الفيدرالية الأمريكية مهلة قانونية لجميع المستخدمين.
المواد الأولية والمصادر: CISA KEV / Google Brotli / Node.js / Adobe APSB26-73
متابعة رسمية صدرت بعد الوقت المرجعي السابق
Citrix NetScaler: التحقق من إصدارات إصلاح PHP بحسب سلسلة الإصدارات
يوصي CTX697263 بتحديث ADC/Gateway إلى 14.1-73.49 و13.1-64.32 و14.1-73.49 FIPS و13.1-FIPS/NDcPP 13.1.37.286 أو أحدث. ويذكر أن السحابة التي يديرها المورّد عولجت ولا تتطلب إجراءً من العملاء.
ما ينبغي التحقق منه: طابقوا إصدار الجهاز الذي تديرونه بأنفسكم مع سلسلة إصداراته. لا تحكموا على وجود إصلاح منقول إلى إصدار أقدم اعتماداً على رقم PHP الأصلي وحده؛ قيّدوا واجهات الإدارة وحققوا في احتمال الاختراق.
المواد الأولية والمصادر: Citrix CTX697263
الجدول الحالي للمراجعة الرسمية بتاريخ 10/27
PAN-OS: التمييز بين الإصدارات الصادرة وتواريخ الإتاحة المتوقعة ETA
يتضمن الجدول الرسمي إصدارات مصححة مثل 12.2.4-h1 / 12.1.7-h11 / 11.2.10-h16، بينما لا تزال إصدارات مثل 11.2.13-h4 و11.2.16-h1 موسومة بـ ETA. لا تعتبروا الإصدار قد صدر لمجرد انقضاء الموعد المخطط له. تتعلق المشكلة بـ PHP في واجهة الإدارة، ولا تنطبق الشروط نفسها على جميع اتصالات مستوى البيانات.
ما ينبغي التحقق منه: تحققوا من الإصدارات التي صدرت فعلياً لكل سلسلة في جدول AffectedVersions الرسمي ثم حدّثوا. قيّدوا واجهة الإدارة بمصادر اتصال موثوقة، وتحققوا من مؤشرات الاختراق بصورة منفصلة عن التحديث.
المواد الأولية والمصادر: Palo Alto Networks
10/27 نشر
WatchGuard: 18 تنبيهات، والتحقق من شروط تكامل AD وعميل Windows
تتضمن القائمة الرسمية ليوم 27 من شهر 10 عدد 17 من تنبيهات Fireware وعدد 1 من تنبيهات Windows Mobile VPN SSL. يتطلب تجاوز سعة الكومة في مصادقة AD تحقق شروط، منها إعداد AD. وتشمل مشكلة اعتراض الاتصالات المحلية لعميل VPN جانب Windows أيضاً. يذكر المورّد أنه لا يعلم باستغلال فعلي في التنبيهات المعنية.
ما ينبغي التحقق منه: حدّثوا بحسب السلسلة، مثل Fireware 2026.4 / 12.12.4، وإلى 12.5.22 لأجهزة T15/T35. بالنسبة إلى CVE-2026-115495، حدّثوا عميل Windows VPN إلى 2026.4 ولا تكتفوا بجهاز Firebox نفسه. راجعوا النص الأصلي عند اختلاف قسم Solution عن جدول المنتجات.
المواد الأولية والمصادر: WatchGuard PSIRT / AD認証 / Windows VPN
10/27 إصدار
المتصفح والبريد: تحديثات Firefox / ESR / Thunderbird / Chrome
أصدرت Mozilla كلاً من Firefox159 وESR153.6 / 115.44 وThunderbird159 / 153.6 يوم 27 من شهر 10. يُوزع Chrome stable تدريجياً بإصدارات Windows/Mac 156.0.8078.73/.74 وLinux/Android 156.0.8078.73. عدد التنبيهات لا يمثل عدد حوادث الضرر.
ما ينبغي التحقق منه: نفذوا التحديث وأعيدوا التشغيل. تحققوا من سلسلة الإصدارات المدعومة المناسبة لنظام التشغيل وسياسة إدارة المؤسسة. لا تضيفوا معرفات CVE مختلقة أو تصنيف يوم صفري إلى الأجزاء التي لم تُنشر تفاصيلها في Chrome.
المواد الأولية والمصادر: Mozilla / Firefox159 / Chrome releases
10/27 تنبيه
Creative Cloud على Windows: إصلاح تصعيد الصلاحيات المحلية
يعالج APSB26-135 مشكلة مسار البحث في إصدار Windows 6.10 وما قبله، وذلك في 6.11. يذكر المورّد عدم وجود استغلال فعلي معروف. لا يمثل هذا إعلاناً عن تأكد اختراق المستخدمين.
ما ينبغي التحقق منه: حدّثوا Creative Cloud Desktop إلى 6.11 أو أحدث. تحققوا من الإصدار الفعلي على الأجهزة المنشور عليها.
المواد الأولية والمصادر: Adobe APSB26-135
نشر GHSA: 2026-10-27T21:26:32Z إلى 2026-10-27T21:26:56Z
MLflow: قراءة الملفات وتشغيل scorer وتسجيل المفاتيح في trace
لا يقتصر النطاق على الخوادم غير المحمية بالمصادقة؛ فبعض المشكلات تشمل أيضاً مستخدمين منخفضي الصلاحيات مع basic-auth. ويتضمن ذلك تسجيل مفاتيح API في trace الخاص بـ CrewAI autolog. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: حدّثوا إلى 3.17.0. قيّدوا الوصول العام، وافحصوا trace ووجهات إخراج OTLP، وألغوا مفاتيح المزوّدين التي انكشفت.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (3)
MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source
mlflow (pip): المتأثر >= 3.10.0, < 3.17.0 → الإصدار المصحح 3.17.0
MLflow CrewAI autologging records LLM provider API keys in logged trace spans
mlflow (pip): المتأثر >= 2.19.0, < 3.17.0 → الإصدار المصحح 3.17.0
MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules
mlflow (pip): المتأثر >= 3.12.0rc0, < 3.17.0 → الإصدار المصحح 3.17.0
المواد الأولية والمصادر: GHSA-m65p-9j7q-6w33 / GHSA-j7qq-vr8c-xvw3 / GHSA-26p8-2jq9-3vq9
نشر GHSA: 2026-10-27T21:07:25Z إلى 2026-10-27T21:07:25Z
dd-trace-js: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
dd-trace: ReDOS in URL query string obfuscation
dd-trace (npm): المتأثر >= 2.0.0, < 5.131.1 → الإصدار المصحح 5.131.1dd-trace (npm): المتأثر >= 6.0.0, < 6.20.1 → الإصدار المصحح 6.20.1
المواد الأولية والمصادر: GHSA-x94g-w73q-hpcw
نشر GHSA: 2026-10-27T21:07:12Z إلى 2026-10-27T21:07:12Z
tinymce: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization
tinymce (npm): المتأثر >= 8.5.1, < 8.9.3 → الإصدار المصحح 8.9.3TinyMCE (nuget): المتأثر >= 8.5.1, < 8.9.3 → الإصدار المصحح 8.9.3tinymce/tinymce (composer): المتأثر >= 8.5.1, < 8.9.3 → الإصدار المصحح 8.9.3tinymce (npm): المتأثر = 7.9.3 → الإصدار المصحح 7.9.4TinyMCE (nuget): المتأثر = 7.9.3 → الإصدار المصحح 7.9.4tinymce/tinymce (composer): المتأثر = 7.9.3 → الإصدار المصحح 7.9.4
المواد الأولية والمصادر: GHSA-mf2p-h6hf-fcwm
نشر GHSA: 2026-10-27T21:05:29Z إلى 2026-10-27T21:06:59Z
MCP Python SDK: التحقق من audience وإعادة التوجيه ومراجع المخطط
ميّزوا بين التحقق من المورد المستهدف برمز bearer، وتمرير الترويسات المخصصة ومحتوى الطلب عند إعادة التوجيه بين أصول مختلفة، وSSRF أو التوقف الناتج عن المراجع الخارجية في outputSchema. لا تصنفوا ذلك كتسريب لترويسة Authorization وحدها. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: حدّثوا إلى 1.30.0 / 2.2.0 أو أحدث. تتطلب معالجة audience أيضاً validate_token_resource=True وresource_server_url وإرجاع AccessToken.resource. لا يُفعّل التحقق بمجرد التحديث.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (3)
Model Context Protocol Python SDK: Server bearer-token authentication accepts tokens issued for a different resource server
mcp (pip): المتأثر >= 2.0.0, < 2.2.0 → الإصدار المصحح 2.2.0mcp (pip): المتأثر >= 1.10.0, < 1.30.0 → الإصدار المصحح 1.30.0
Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies
mcp (pip): المتأثر >= 2.0.0, < 2.2.0 → الإصدار المصحح 2.2.0mcp (pip): المتأثر >= 1.8.0, < 1.30.0 → الإصدار المصحح 1.30.0
Model Context Protocol Python SDK: Client fetched server-chosen $ref URLs while validating tool results against output schemas
mcp (pip): المتأثر >= 2.0.0, < 2.2.0 → الإصدار المصحح 2.2.0mcp (pip): المتأثر >= 1.10.0, < 1.30.0 → الإصدار المصحح 1.30.0
المواد الأولية والمصادر: GHSA-w4fh-qvv9-3v23 / GHSA-5h93-6whr-6q8j / GHSA-rwrf-2pqf-9j8j
نشر GHSA: 2026-10-27T21:06:54Z إلى 2026-10-27T21:06:54Z
opentelemetry-python: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
OpenTelemetry Python: Unbounded memory allocation in Jaeger baggage propagation
opentelemetry-propagator-jaeger (pip): المتأثر <= 1.44.0 → الإصدار المصحح 1.45.0
المواد الأولية والمصادر: GHSA-f5m9-jfrj-jjj7
نشر GHSA: 2026-10-27T21:05:06Z إلى 2026-10-27T21:05:13Z
ckeditor5: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 2 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): المتأثر >= 29.0.0, < 47.7.4 → الإصدار المصحح 47.7.4@ckeditor/ckeditor5-engine (npm): المتأثر >= 29.0.0, < 47.7.4 → الإصدار المصحح 47.7.4ckeditor5 (npm): المتأثر >= 48.0.0, < 48.5.1 → الإصدار المصحح 48.5.1@ckeditor/ckeditor5-engine (npm): المتأثر >= 48.0.0, < 48.5.1 → الإصدار المصحح 48.5.1
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): المتأثر >= 45.0.0, < 47.7.4 → الإصدار المصحح 47.7.4@ckeditor/ckeditor5-engine (npm): المتأثر >= 45.0.0, < 47.7.4 → الإصدار المصحح 47.7.4ckeditor5 (npm): المتأثر >= 48.0.0, < 48.5.1 → الإصدار المصحح 48.5.1@ckeditor/ckeditor5-engine (npm): المتأثر >= 48.0.0, < 48.5.1 → الإصدار المصحح 48.5.1
المواد الأولية والمصادر: GHSA-v6mg-96c6-gmpq / GHSA-rh54-vffm-5fvp
نشر GHSA: 2026-10-27T21:04:57Z إلى 2026-10-27T21:04:57Z
neko: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Neko: Authorization bypass in legacy WebRTC input handling
github.com/m1k1o/neko/server (go): المتأثر >= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b → الإصدار المصحح 0.0.0-20260805142851-395ca1a6f62b
المواد الأولية والمصادر: GHSA-5cp7-fp4j-wwcv
نشر GHSA: 2026-10-27T21:04:50Z إلى 2026-10-27T21:04:50Z
Atlantis: حقن أوامر عبر workspace في مرحلة plan
مسار الهجوم هو workspace في ملف atlantis.yaml لطلب السحب الذي تُنفذ له plan. قد تتحقق المشكلة حتى دون صلاحيات custom workflow أو apply. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: حدّثوا إلى 0.47.1. قيّدوا تشغيل plan لطلبات السحب غير الموثوقة، وافحصوا صلاحيات السحابة وVCS لدى runner.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
github.com/runatlantis/atlantis (go): المتأثر >= 0.4.0, <= 0.47.0 → الإصدار المصحح 0.47.1
المواد الأولية والمصادر: GHSA-rjh2-4xgw-p2hj
نشر GHSA: 2026-10-27T21:04:40Z إلى 2026-10-27T21:04:40Z
filebrowser: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
FileBrowser: Symlink following escapes user scope allowing arbitrary file read outside the served directory
github.com/gtsteffaniak/filebrowser/backend (go): المتأثر < 0.0.0-20260814233832-4126edeb07a0 → الإصدار المصحح 0.0.0-20260814233832-4126edeb07a0
المواد الأولية والمصادر: GHSA-mgqf-5mf5-prfj
نشر GHSA: 2026-10-27T16:09:45Z إلى 2026-10-27T19:02:31Z
undici: التحقق من TLS وحدود التخزين المؤقت وحجب الخدمة
مشكلات تختلف شروطها، منها تمرير خيارات TLS، وإعادة التوجيه بين أصول مختلفة والتخزين المؤقت المشترك، وتخزين WebSocket في الذاكرة. لا تعتبروا fetch المدمج في Node.js وتبعية npm المنفصلة إصداراً منشوراً واحداً. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا السلسلة المعنية مع 6.29.1 / 7.30.1 / 8.12.2. حدّثوا تبعية npm وبيئة التشغيل التي تتضمنها بصورة منفصلة، وتحققوا أيضاً من مشاركة التخزين المؤقت وإعدادات إعادة التوجيه وTLS.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (6)
undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects
undici (npm): المتأثر >= 7.0.0, < 7.30.1 → الإصدار المصحح 7.30.1undici (npm): المتأثر >= 8.0.0, < 8.12.2 → الإصدار المصحح 8.12.2
undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent
undici (npm): المتأثر >= 4.0.0, < 6.29.1 → الإصدار المصحح 6.29.1undici (npm): المتأثر >= 7.0.0, < 7.30.1 → الإصدار المصحح 7.30.1undici (npm): المتأثر >= 8.0.0, < 8.12.2 → الإصدار المصحح 8.12.2
undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation
undici (npm): المتأثر >= 4.2.1, < 6.29.1 → الإصدار المصحح 6.29.1undici (npm): المتأثر >= 7.0.0, < 7.30.1 → الإصدار المصحح 7.30.1undici (npm): المتأثر >= 8.0.0, < 8.12.2 → الإصدار المصحح 8.12.2
undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering
undici (npm): المتأثر >= 5.15.0, < 6.29.1 → الإصدار المصحح 6.29.1undici (npm): المتأثر >= 7.0.0, < 7.30.1 → الإصدار المصحح 7.30.1undici (npm): المتأثر >= 8.0.0, < 8.12.2 → الإصدار المصحح 8.12.2
undici vulnerable to Denial of Service via unhandled exception in the decompress interceptor
undici (npm): المتأثر >= 7.15.0, < 7.30.1 → الإصدار المصحح 7.30.1undici (npm): المتأثر >= 8.0.0, < 8.12.2 → الإصدار المصحح 8.12.2
undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
undici (npm): المتأثر >= 8.11.0, < 8.11.2 → الإصدار المصحح 8.11.2
المواد الأولية والمصادر: GHSA-4w7w-5xrc-9h26 / GHSA-2m5v-pch6-74hx / GHSA-qrxm-fqhp-jwvm / GHSA-9fm3-97px-rjf6 / GHSA-55wc-3pg8-jfw6 / GHSA-qq8j-7v2v-3rwp
نشر GHSA: 2026-10-27T19:02:00Z إلى 2026-10-27T19:02:00Z
MCP TypeScript SDK: حدود حجم محتوى HTTP وطول batch
تتمثل المشكلة في استهلاك الموارد بسبب محتوى ضخم أو دفعات JSON-RPC كبيرة في نقل HTTP أو معالجه. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا الحزمة المستخدمة فعلياً، مثل sdk1.30.1 وserver/node2.1.0 وhono2.0.1، واضبطوا الحدود أيضاً على الوكيل العكسي.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
@modelcontextprotocol/sdk (npm): المتأثر >= 1.10.0, < 1.30.1 → الإصدار المصحح 1.30.1@modelcontextprotocol/server (npm): المتأثر >= 2.0.0, < 2.1.0 → الإصدار المصحح 2.1.0@modelcontextprotocol/node (npm): المتأثر >= 2.0.0, < 2.1.0 → الإصدار المصحح 2.1.0@modelcontextprotocol/hono (npm): المتأثر >= 2.0.0, < 2.0.1 → الإصدار المصحح 2.0.1
المواد الأولية والمصادر: GHSA-f897-62hf-6gxq
نشر GHSA: 2026-10-27T19:01:39Z إلى 2026-10-27T19:01:50Z
symfony: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 2 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process
symfony/symfony (composer): المتأثر >= 2.0.0, < 5.4.54 → الإصدار المصحح 5.4.54symfony/symfony (composer): المتأثر >= 6.0.0, < 6.4.45 → الإصدار المصحح 6.4.45symfony/symfony (composer): المتأثر >= 7.0.0, < 7.4.18 → الإصدار المصحح 7.4.18symfony/symfony (composer): المتأثر >= 8.0.0, < 8.1.6 → الإصدار المصحح 8.1.6symfony/yaml (composer): المتأثر >= 2.0.0, < 5.4.54 → الإصدار المصحح 5.4.54symfony/yaml (composer): المتأثر >= 6.0.0, < 6.4.45 → الإصدار المصحح 6.4.45symfony/yaml (composer): المتأثر >= 7.0.0, < 7.4.18 → الإصدار المصحح 7.4.18symfony/yaml (composer): المتأثر >= 8.0.0, < 8.1.6 → الإصدار المصحح 8.1.6
Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
symfony/http-foundation (composer): المتأثر >= 6.0.1, < 6.4.46 → الإصدار المصحح 6.4.46symfony/http-foundation (composer): المتأثر >= 7.0.0, < 7.4.19 → الإصدار المصحح 7.4.19symfony/http-foundation (composer): المتأثر >= 8.0.0, < 8.1.7 → الإصدار المصحح 8.1.7symfony/symfony (composer): المتأثر >= 6.0.1, < 6.4.46 → الإصدار المصحح 6.4.46symfony/symfony (composer): المتأثر >= 7.0.0, < 7.4.19 → الإصدار المصحح 7.4.19symfony/symfony (composer): المتأثر >= 8.0.0, < 8.1.7 → الإصدار المصحح 8.1.7symfony/http-foundation (composer): المتأثر >= 4.1.0, < 5.4.54 → الإصدار المصحح 5.4.54symfony/symfony (composer): المتأثر >= 4.1.0, < 5.4.54 → الإصدار المصحح 5.4.54
المواد الأولية والمصادر: GHSA-2v3c-qxhr-7vpv / GHSA-r925-mgvr-h9cc
نشر GHSA: 2026-10-27T19:01:30Z إلى 2026-10-27T19:01:30Z
go-jose: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Go JOSE: DoS when parsing JWKs that contain RSA keys
github.com/go-jose/go-jose/v4 (go): المتأثر <= 4.1.5 → الإصدار المصحح 4.1.6github.com/go-jose/go-jose/v3 (go): المتأثر <= 3.0.5 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
المواد الأولية والمصادر: GHSA-mgcc-cww5-fp2q
نشر GHSA: 2026-10-27T19:00:50Z إلى 2026-10-27T19:00:50Z
terraform-provider-ctfd: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values
github.com/ctfer-io/terraform-provider-ctfd (go): المتأثر >= 0.1.5, <= 1.1.0 → الإصدار المصحح لا يوجد ذكر لإصدار مصححgithub.com/ctfer-io/terraform-provider-ctfd/v2 (go): المتأثر < 2.8.2 → الإصدار المصحح 2.8.2
المواد الأولية والمصادر: GHSA-vg84-c5mg-76xh
نشر GHSA: 2026-10-27T17:08:41Z إلى 2026-10-27T17:08:41Z
hydra: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Hydra legacy target blacklist permits unsafe PyYAML loading
hydra-core (pip): المتأثر >= 1.3.6, < 1.3.8 → الإصدار المصحح 1.3.8hydra-core (pip): المتأثر >= 1.4.0.dev9, < 1.4.0rc3 → الإصدار المصحح 1.4.0rc3
المواد الأولية والمصادر: GHSA-wf6j-7hvr-gr93
نشر GHSA: 2026-10-27T16:10:55Z إلى 2026-10-27T16:10:55Z
qs: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
qs : qs.stringify with arrayFormat 'comma' throws an uncaught TypeError on array elements carrying a non-callable own toString (DoS)
qs (npm): المتأثر >= 6.7.0, <= 6.16.0 → الإصدار المصحح 6.16.1
المواد الأولية والمصادر: GHSA-6pq8-jhm2-2vcw
نشر GHSA: 2026-10-27T14:50:18Z إلى 2026-10-27T16:09:22Z
Authlib: حدود التحقق من التوقيع وnonce وaudience وغيرها
يشمل ذلك التوقيع الفارغ ومفتاح HMAC الفارغ والخلط بين الخوارزميات وSSRF عبر request_uri وغيرها. لا يكفي 1.9.0 وحده لإصلاح مشكلة مفتاح HMAC الفارغ. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: تحققوا من 1.9.1 أو أحدث. طابقوا إعدادات issuer وaudience وnonce والخوارزميات المسموح بها والمفاتيح، وقيّدوا وجهات جلب request_uri.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (8)
Authlib accepts an empty HMAC key, allowing JWS/JWT signature forgery (HS256/HS384/HS512)
Authlib (pip): المتأثر < 1.9.1 → الإصدار المصحح 1.9.1
Authlib: Unvalidated request_uri fetch in JWT-secured authorization request (JAR) leading to SSRF
authlib (pip): المتأثر >= 1.6.0, < 1.9.0 → الإصدار المصحح 1.9.0
Authlib: ID token can disable its own nonce validation via the nonce_supported claim
authlib (pip): المتأثر <= 1.8.0 → الإصدار المصحح 1.9.0
Authlib: Default JWT bearer grant accepts assertions for the wrong audience
authlib (pip): المتأثر < 1.9.0 → الإصدار المصحح 1.9.0
Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens
authlib (pip): المتأثر < 1.9.0 → الإصدار المصحح 1.9.0
Authlib incomplete algorithm-confusion fix permits HMAC forgery with prefixed public keys
authlib (pip): المتأثر >= 1.3.1, <= 1.8.0 → الإصدار المصحح 1.9.0
Authlib: is_secure_transport() loopback exemption can be bypassed with a userinfo component, allowing cleartext-HTTP URLs to non-loopback hosts
authlib (pip): المتأثر <= 1.7.2 → الإصدار المصحح 1.8.0
Authlib: empty signatures validation in JWS JSON deserialization
authlib (pip): المتأثر <= 1.8.0 → الإصدار المصحح 1.9.0
المواد الأولية والمصادر: GHSA-8m4g-j4wp-wgcg / GHSA-x4rv-c3wx-4cr8 / GHSA-c5mf-xmp2-59rc / GHSA-fch4-3c6x-j4gc / GHSA-q686-2qmg-hqc7 / GHSA-7vr2-2fgp-9w7p / GHSA-jj7h-c3hg-m23x / GHSA-6v38-4h7w-rj9h
نشر GHSA: 2026-10-27T16:08:36Z إلى 2026-10-27T16:08:59Z
rustls: أسرار TLS وECH ومعالجة الضغط
ميّزوا بين المعلومات السرية في مخرجات Debug، والمخزن المؤقت عند رفض ECH، وحالة تبادل المفاتيح، وحجم تخصيص الذاكرة لفك ضغط شهادات Brotli. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: حدّثوا إلى إصدار السلسلة المستقرة 0.23.46 وافحصوا سجلات Debug التي تتضمن أسراراً. أما سلسلة التطوير 0.24 فالإصدار هو dev.2.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (4)
rustls: ECH rejection can expose buffered application data to authenticated outer server before `ech_required` alert
rustls (rust): المتأثر >= 0.23.44, < 0.23.46 → الإصدار المصحح 0.23.46rustls (rust): المتأثر >= 0.24.0-dev.1, < 0.24.0-dev.2 → الإصدار المصحح 0.24.0-dev.2
rustls: An unauthenticated ServerHello poisons the per-name key-exchange record, so later ClientHellos carry only a classical X25519 share
rustls (rust): المتأثر < 0.23.46 → الإصدار المصحح 0.23.46rustls (rust): المتأثر >= 0.24.0-dev.1, < 0.24.0-dev.2 → الإصدار المصحح 0.24.0-dev.2
Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs
rustls (rust): المتأثر < 0.23.46 → الإصدار المصحح 0.23.46rustls (rust): المتأثر >= 0.24.0-dev.1, < 0.24.0-dev.2 → الإصدار المصحح 0.24.0-dev.2
Rustls: Brotli certificate decompression can allocate an attacker-controlled amount of memory up to 1 GiB before authentication.
rustls (rust): المتأثر < 0.23.46 → الإصدار المصحح 0.23.46rustls (rust): المتأثر >= 0.24.0-dev.1, < 0.24.0-dev.2 → الإصدار المصحح 0.24.0-dev.2
المواد الأولية والمصادر: GHSA-vp88-798v-h67f / GHSA-w44r-93j7-qv28 / GHSA-c8m5-c952-6cm4 / GHSA-h2v8-394m-p7vv
نشر GHSA: 2026-10-27T15:38:22Z إلى 2026-10-27T15:38:39Z
PhpSpreadsheet: XXE وSSRF عبر الصور الخارجية واستهلاك الموارد
تشمل المشكلات تجاوز ماسح XML، والصفوف المتكررة في ODS، وتجاوز الوجهات المسموح بها عبر إعادة توجيه الصور وغيرها. يختلف النطاق بحسب القارئ المستخدم وسلسلة الإصدارات. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا الإصدارات المصححة لكل تنبيه، مثل 5.10.0 / 3.10.8 / 2.4.8 / 2.1.19 / 1.30.7. اعزلوا المستندات غير الموثوقة وقيّدوا الاتصالات الصادرة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (4)
PhpSpreadsheet: SSRF whitelist bypass via unre-validated HTTP redirect in Drawing::setPath external image loading
phpoffice/phpspreadsheet (composer): المتأثر >= 4.0.0, <= 5.9.0 → الإصدار المصحح 5.10.0phpoffice/phpspreadsheet (composer): المتأثر >= 3.3.0, <= 3.10.7 → الإصدار المصحح 3.10.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.2.0, <= 2.4.7 → الإصدار المصحح 2.4.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.0.0, <= 2.1.18 → الإصدار المصحح 2.1.19phpoffice/phpspreadsheet (composer): المتأثر <= 1.30.6 → الإصدار المصحح 1.30.7
PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)
phpoffice/phpspreadsheet (composer): المتأثر >= 4.0.0, <= 5.9.0 → الإصدار المصحح 5.10.0phpoffice/phpspreadsheet (composer): المتأثر >= 3.3.0, <= 3.10.7 → الإصدار المصحح 3.10.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.2.0, <= 2.4.7 → الإصدار المصحح 2.4.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.0.0, <= 2.1.18 → الإصدار المصحح 2.1.19phpoffice/phpspreadsheet (composer): المتأثر <= 1.30.6 → الإصدار المصحح 1.30.7
PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): المتأثر >= 4.0.0, <= 5.9.0 → الإصدار المصحح 5.10.0phpoffice/phpspreadsheet (composer): المتأثر >= 3.3.0, <= 3.10.7 → الإصدار المصحح 3.10.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.2.0, <= 2.4.7 → الإصدار المصحح 2.4.8phpoffice/phpspreadsheet (composer): المتأثر >= 2.0.0, <= 2.1.18 → الإصدار المصحح 2.1.19phpoffice/phpspreadsheet (composer): المتأثر <= 1.30.6 → الإصدار المصحح 1.30.7
PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): المتأثر >= 4.0.0, <= 5.9.0 → الإصدار المصحح 5.10.0phpoffice/phpspreadsheet (composer): المتأثر >= 3.3.0, <= 3.10.7 → الإصدار المصحح 3.10.8
المواد الأولية والمصادر: GHSA-2phh-27fw-q4gc / GHSA-j2w7-387v-m2rq / GHSA-3x94-m842-937c / GHSA-rxj4-h86g-25gc
نشر GHSA: 2026-10-27T15:38:14Z إلى 2026-10-27T15:38:14Z
compress: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
compress zstd: Panic on two-block frames
github.com/klauspost/compress/zstd (go): المتأثر <= 1.20.1 → الإصدار المصحح 1.20.2
المواد الأولية والمصادر: GHSA-fpmh-frq8-7rj8
نشر GHSA: 2026-10-27T15:37:37Z إلى 2026-10-27T15:37:37Z
dnspython: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
dnspython dns.name.from_wire_parser() excessive CPU use
dnspython (pip): المتأثر < 2.9.0 → الإصدار المصحح 2.9.0
المواد الأولية والمصادر: GHSA-45c3-73f7-pv4m
نشر GHSA: 2026-10-27T15:37:24Z إلى 2026-10-27T15:37:31Z
dd-trace-py: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 2 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
Datadog dd-trace-py: ReDoS in URL query string obfuscation
ddtrace (pip): المتأثر >= 1.5.0, < 3.19.9 → الإصدار المصحح 3.19.9ddtrace (pip): المتأثر >= 4.0.0, < 4.15.6 → الإصدار المصحح 4.15.6
Datadog dd-trace-py: IAST instrumentation can lead to application DOS
ddtrace (pip): المتأثر >= 3.13.0, < 4.15.5 → الإصدار المصحح 4.15.5
المواد الأولية والمصادر: GHSA-3633-r77q-h3v3 / GHSA-p3m5-h5v9-vqj6
نشر GHSA: 2026-10-27T15:36:35Z إلى 2026-10-27T15:36:35Z
mongo-python-driver: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
MongoDB Python Driver: Out-of-bounds read in BSON decoding via a malformed Regex element
pymongo (pip): المتأثر >= 3.9.0, <= 4.18.2 → الإصدار المصحح 4.18.3
المواد الأولية والمصادر: GHSA-98qm-wvgf-w4cf
نشر GHSA: 2026-10-27T14:45:53Z إلى 2026-10-27T15:36:17Z
vLLM: تحديد مراجعة النموذج والتفريغ عبر P2P
ميّزوا بين التنفيذ عبر mm_processor_kwargs.code_revision في الطلب، واستنفاد المقابس في طبقة ثانوية محددة من P2P. لا تنطبق الشروط نفسها على جميع التهيئات. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: تحققوا من شروط الوظائف في كل تنبيه. أُصلحت مشكلة التنفيذ في 0.31.0 ومشكلة P2P في 0.32.0. قيّدوا جلب النماذج والوصول إلى API.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
vLLM: Request-controlled mm_processor_kwargs.code_revision allows remote code execution
vllm (pip): المتأثر >= 0.7.3, < 0.31.0 → الإصدار المصحح 0.31.0
vllm p2p never connected zmq_exhaustion
vllm (pip): المتأثر < 0.32.0 → الإصدار المصحح 0.32.0
المواد الأولية والمصادر: GHSA-h3rc-6mm3-gc2m / GHSA-frvg-qw88-hww9
نشر GHSA: 2026-10-27T15:34:28Z إلى 2026-10-27T15:34:33Z
harness-sdk: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 2 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
Strands Agents: Local Privilege Escalation via Symlink Attack in Default Session File Storage
strands-agents (pip): المتأثر < 1.48.0 → الإصدار المصحح 1.48.0
Strands Agents: Default FileSessionManager storage is world-readable on shared systems
strands-agents (pip): المتأثر < 1.48.0 → الإصدار المصحح 1.48.0
المواد الأولية والمصادر: GHSA-3w55-933p-8pv5 / GHSA-763v-5pjm-fx36
نشر GHSA: 2026-10-27T15:33:22Z إلى 2026-10-27T15:33:42Z
snappy-java: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 3 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (3)
snappy-java: Heap buffer overflow in Snappy.uncompress*Array typed-array methods
org.xerial.snappy:snappy-java (maven): المتأثر <= 1.1.10.8 → الإصدار المصحح 1.1.10.9
snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite
org.xerial.snappy:snappy-java (maven): المتأثر <= 1.1.10.8 → الإصدار المصحح 1.1.10.9
snappy-java: Unbounded memory allocation from attacker-declared uncompressed lengtha
org.xerial.snappy:snappy-java (maven): المتأثر <= 1.1.10.8 → الإصدار المصحح 1.1.10.9
المواد الأولية والمصادر: GHSA-gwq9-9ffj-mvrv / GHSA-xqrx-qh46-34m7 / GHSA-q233-g92q-qxp6
نشر GHSA: 2026-10-27T15:32:45Z إلى 2026-10-27T15:32:45Z
flexible-graphrag: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content
flexible-graphrag (pip): المتأثر >= 0.6.0, < 0.8.2 → الإصدار المصحح 0.8.2
المواد الأولية والمصادر: GHSA-vqrg-773h-4wxc
نشر GHSA: 2026-10-27T15:04:14Z إلى 2026-10-27T15:32:36Z
LiteLLM: تصعيد الصلاحيات وقراءة الملفات وXSS
التنبيهات الحالية البالغ عددها 3 تتعلق بالكشف عن ثغرات المنتج. تُعامل بصورة منفصلة عن حادث اختراق قناة التوزيع. تعتمد مشكلة التصعيد من internal_user إلى proxy_admin أيضاً على الإعداد experimental في سلاسل الإصدارات القديمة. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: بالنسبة إلى تصعيد الصلاحيات، تحققوا من السلاسل المعالجة مثل 1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0rc2. يؤدي التدبير المؤقت EXPERIMENTAL_UI_LOGIN=false أيضاً إلى تعطيل CLI SSO وغيرها.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (3)
LiteLLM: internal_user_viewer arbitrary local file read via `vertex_ai_credentials`
litellm (pip): المتأثر < 1.95.0 → الإصدار المصحح 1.95.0
LiteLLM vulnerable to reflected XSS in /sso/debug/callback
litellm (pip): المتأثر >= 1.65.5, < 1.85.0 → الإصدار المصحح 1.85.0
LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key
litellm (pip): المتأثر >= 1.91.0, < 1.100.4 → الإصدار المصحح 1.100.4litellm (pip): المتأثر >= 1.101.0, < 1.101.3 → الإصدار المصحح 1.101.3litellm (pip): المتأثر >= 1.102.0, < 1.102.2 → الإصدار المصحح 1.102.2litellm (pip): المتأثر >= 1.103.0, < 1.103.1 → الإصدار المصحح 1.103.1litellm (pip): المتأثر >= 1.104.0rc1, < 1.104.0rc2 → الإصدار المصحح 1.104.0rc2
المواد الأولية والمصادر: GHSA-g5ff-637f-6q2m / GHSA-hhww-mrg2-969h / GHSA-7hp6-4w63-5g45
نشر GHSA: 2026-10-27T14:49:53Z إلى 2026-10-27T15:32:25Z
Better Auth: حدود الحسابات في OAuth state والوكيل
يشمل ذلك OAuth Proxy، وإعادة استخدام state في MagicLink، وتحديد المعدل في DBadapter، ونقص المعلومات المعروضة عند الموافقة على جهاز عشوائي. تتطلب مشكلة الجهاز شروطاً، منها تفعيل الميزة اختيارياً وموافقة المستخدم. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: تحققوا من better-auth1.7.7 والمهايئ المستخدم. عند الموافقة على الجهاز، اعرضوا العميل الطالب والصلاحيات استناداً إلى المعلومات التي تحقق منها الخادم.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (4)
@better-auth/drizzle-adapter: Concurrent requests can exceed rate limits on PostgreSQL
@better-auth/drizzle-adapter (npm): المتأثر >= 1.6.17, < 1.7.7 → الإصدار المصحح 1.7.7@better-auth/kysely-adapter (npm): المتأثر >= 1.6.17, < 1.7.0 → الإصدار المصحح 1.7.0better-auth (npm): المتأثر >= 1.6.17, < 1.7.7 → الإصدار المصحح 1.7.7
better-auth: OAuth Proxy lets an attacker sign in as another user
better-auth (npm): المتأثر >= 1.5.0-beta.12, < 1.7.7 → الإصدار المصحح 1.7.7
better-auth: OAuth state can be used as a Magic Link to sign in as another user
better-auth (npm): المتأثر >= 1.4.0-beta.18, < 1.7.7 → الإصدار المصحح 1.7.7
better-auth: Device login approval does not show the requesting client or permissions
better-auth (npm): المتأثر >= 1.3.8-beta.3, < 1.7.0-rc.3 → الإصدار المصحح 1.7.0-rc.3
المواد الأولية والمصادر: GHSA-44jh-23m7-hpcf / GHSA-r4xp-prcw-77qf / GHSA-965c-763c-88jm / GHSA-q84f-53jg-9ppm
نشر GHSA: 2026-10-27T15:26:24Z إلى 2026-10-27T15:28:03Z
GitPython: حدود التعامل مع repository وrefspec وsubmodule غير الموثوقة
عدد 6 من التنبيهات يشمل قراءة الملفات عبر أسماء الفروع، والروابط الرمزية في submodule، والخيارات غير الآمنة في pull، وكشف متغيرات البيئة وغيرها. تختلف شروط تحقق المشكلات تبعاً لقيود نقل Git المعتادة وغيرها. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: حدّثوا إلى 3.2.0. لا تعالجوا مستودعات غير موثوقة في بيئة CI تحتوي على أسرار. عند الضرورة، اعزلوها وافحصوا السجلات وبيانات الاعتماد التي انكشفت بالفعل.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (6)
GitPython: arbitrary file read via attacker-controlled branch name in `Head.checkout()` (incomplete fix of CVE-2026-78679)
GitPython (pip): المتأثر <= 3.1.62 → الإصدار المصحح 3.2.0
GitPython: Submodule.move() follows an attacker-committed intermediate symlink outside the worktree
GitPython (pip): المتأثر < 3.2.0 → الإصدار المصحح 3.2.0
GitPython Remote.pull() refspec bypasses the --upload-pack unsafe-option guard, enabling arbitrary command execution
GitPython (pip): المتأثر >= 3.1.30, < 3.2.0 → الإصدار المصحح 3.2.0
GitPython command wrappers omit unsafe protocol and option checks
GitPython (pip): المتأثر <= 3.1.62 → الإصدار المصحح 3.2.0
GitPython: separate_git_dir leaks env vars via crafted .gitmodules submodule name
GitPython (pip): المتأثر <= 3.1.62 → الإصدار المصحح 3.2.0
GitPython parse_actor_and_date() is vulnerable to quadratic backtracking on malformed identity lines
GitPython (pip): المتأثر <= 3.1.62 → الإصدار المصحح 3.2.0
المواد الأولية والمصادر: GHSA-23mf-xhv8-69c2 / GHSA-gq48-pqfc-9p58 / GHSA-f9j4-qggq-h239 / GHSA-w8jc-g24h-crhw / GHSA-fx3j-rwgx-fr94 / GHSA-m64x-33q8-m5h7
نشر GHSA: 2026-10-27T15:04:33Z إلى 2026-10-27T15:04:39Z
nodemailer: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 3 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (3)
Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service
nodemailer (npm): المتأثر >= 3.0.0, <= 10.0.12 → الإصدار المصحح 10.0.13
Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped
nodemailer (npm): المتأثر >= 3.0.0, <= 10.0.12 → الإصدار المصحح 10.0.13
Nodemailer: Quadratic (O(n^2)) SMTP client reply parsing lets a malicious server or MITM cause a pre-auth remote denial of service
nodemailer (npm): المتأثر >= 3.0.0, <= 10.0.9 → الإصدار المصحح 10.0.10
المواد الأولية والمصادر: GHSA-4ffr-jq9g-5ffx / GHSA-g73g-hqqh-jr95 / GHSA-4g23-2xm8-66gc
نشر GHSA: 2026-10-27T15:04:07Z إلى 2026-10-27T15:04:07Z
msgpack-python: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure
msgpack (pip): المتأثر < 1.2.3 → الإصدار المصحح 1.2.3
المواد الأولية والمصادر: GHSA-j586-36cw-2gc2
نشر GHSA: 2026-10-27T14:50:30Z إلى 2026-10-27T14:50:30Z
nltk: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
NLTK: WekaClassifier passes an unvalidated caller-controlled model path to the weka JVM, bypassing nltk.pathsec containment
nltk (pip): المتأثر <= 3.10.3 → الإصدار المصحح 3.10.4
المواد الأولية والمصادر: GHSA-j456-xh4h-cpf2
نشر GHSA: 2026-10-27T14:46:51Z إلى 2026-10-27T14:46:51Z
pylint: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Pylint: Arbitrary code execution via pickle deserialization of the stats cache in PYLINT_HOME
pylint (pip): المتأثر < 4.0.9 → الإصدار المصحح 4.0.9
المواد الأولية والمصادر: GHSA-22qq-2fwx-7p67
نشر GHSA: 2026-10-27T14:46:43Z إلى 2026-10-27T14:46:43Z
Satori: قصور في تهريب المحارف في SVG المُنشأ
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Satori-generated SVG has improper escaping
satori (npm): المتأثر >= 0.0.27, < 0.33.5 → الإصدار المصحح 0.33.5
المواد الأولية والمصادر: GHSA-wx4j-mvgx-mqwp
نشر GHSA: 2026-10-27T14:45:36Z إلى 2026-10-27T14:45:36Z
rembg: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Rembg: Unauthenticated SAM model injection permits local-file disclosure through malicious ONNX graphs
rembg (pip): المتأثر < 2.0.82 → الإصدار المصحح 2.0.82
المواد الأولية والمصادر: GHSA-qr6x-7v33-6qmg
نشر GHSA: 2026-10-27T14:45:29Z إلى 2026-10-27T14:45:29Z
twisted: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Twisted: DNS Response Spoofing in twisted.names Due to Missing Source Address Validation
Twisted (pip): المتأثر <= 26.4.0 → الإصدار المصحح 26.10.0rc1
المواد الأولية والمصادر: GHSA-jj36-9pvh-vj5r
نشر GHSA: 2026-10-27T14:44:19Z إلى 2026-10-27T14:44:19Z
Ghost: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Ghost: Authorization Bypass in Comment Like Feature
ghost (npm): المتأثر >= 5.9.0, < 6.44.1 → الإصدار المصحح 6.44.1
المواد الأولية والمصادر: GHSA-qrh6-cwg3-343x
نشر GHSA: 2026-10-27T14:43:57Z إلى 2026-10-27T14:43:57Z
siyuan: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
SiYuan: MCP file tool's blocklist is incomplete relative to the HTTP file API it claims to align with, exposing publish-mode passwords and other sensitive workspace files
github.com/siyuan-note/siyuan/kernel (go): المتأثر < 0.0.0-20260808051406-3542530c505f → الإصدار المصحح 0.0.0-20260808051406-3542530c505f
المواد الأولية والمصادر: GHSA-c8r8-95hg-mp34
نشر GHSA: 2026-10-27T14:43:16Z إلى 2026-10-27T14:43:19Z
fpdf2: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 2 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (2)
fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'
fpdf2 (pip): المتأثر >= 2.5.0, < 2.8.8 → الإصدار المصحح 2.8.8
fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content
fpdf2 (pip): المتأثر <= 2.8.7 → الإصدار المصحح 2.8.8
المواد الأولية والمصادر: GHSA-wqw6-wpr3-45rh / GHSA-rw7v-4hrq-x6r9
نشر GHSA: 2026-10-27T14:27:53Z إلى 2026-10-27T14:27:53Z
guava: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Google Guava: CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation
com.google.guava:guava (maven): المتأثر >= 4.0, <= 33.7.1 → الإصدار المصحح 33.7.2
المواد الأولية والمصادر: GHSA-xxph-c9ww-hj94
نشر GHSA: 2026-10-27T13:30:41Z إلى 2026-10-27T13:30:41Z
agno: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Agno: Arbitrary code execution via `eval()` on `field_type` in `FunctionCall`
agno (pip): المتأثر < 2.3.24 → الإصدار المصحح 2.3.24
المواد الأولية والمصادر: GHSA-m4w4-3r8h-jw98
نشر GHSA: 2026-10-27T13:30:17Z إلى 2026-10-27T13:30:17Z
oauthlib: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
OAuthLib: Bearer token can be retrieved as long as client knows a valid client ID for device workflow
oauthlib (pip): المتأثر >= 3.3.0, < 4.0.0 → الإصدار المصحح 4.0.0
المواد الأولية والمصادر: GHSA-3jp2-3mrg-2vxc
نشر GHSA: 2026-10-27T13:30:10Z إلى 2026-10-27T13:30:10Z
MONAI: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM (pydicom DS/IS Validation Bypass)
monai (pip): المتأثر < 1.6.1 → الإصدار المصحح 1.6.1
المواد الأولية والمصادر: GHSA-6hp3-vr39-rqw8
نشر GHSA: 2026-10-27T13:29:57Z إلى 2026-10-27T13:29:57Z
dcmjs: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
dcmjs: DS/IS VALUE REPRESENTATION INPUT VALIDATION BYPASS
dcmjs (npm): المتأثر < 0.52.0 → الإصدار المصحح 0.52.0
المواد الأولية والمصادر: GHSA-px68-xx5g-48q5
نشر GHSA: 2026-10-27T13:29:47Z إلى 2026-10-27T13:29:47Z
wails: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Wails: wildcardPatternToRegex allows Origin bypass via suffix match in BindingsAllowedOrigins
github.com/wailsapp/wails/v2 (go): المتأثر >= 2.0.0, < 2.13.0 → الإصدار المصحح 2.13.0
المواد الأولية والمصادر: GHSA-47hv-j4px-h3c9
نشر GHSA: 2026-10-27T13:29:25Z إلى 2026-10-27T13:29:25Z
dolibarr: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Dolibarr has SQL Injection in societe/class/societe.class.php via localtax1_value parameter
dolibarr/dolibarr (composer): المتأثر <= 23.0.0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
المواد الأولية والمصادر: GHSA-v5fq-cf5m-vwv7
نشر GHSA: 2026-10-27T13:27:58Z إلى 2026-10-27T13:27:58Z
ajenti: التحقق من التنبيهات المنشورة ونطاق الإصلاح
تم التحقق من 1 تنبيهات ضمن نافذة نشر GHSA الحالية. راجعوا مواد كل مطوّر لمعرفة شروط تحقق المشكلة، مثل الوظائف والمدخلات والصلاحيات المعنية. وقت التسجيل ليس تاريخ الإصدار الأول ولا وقت هجوم فعلي. لا يمكن تحديد عدد المتضررين أو حالات الضرر الفعلي من هذه المواد وحدها.
ما ينبغي التحقق منه: طابقوا النطاق المتأثر والإصدار المصحح لكل تنبيه أدناه. لا تعتبروا سلسلة لم يُذكر لها إصدار مصحح قد أُصلحت؛ وراجعوا إرشادات المطوّر للانتقال أو التدابير المؤقتة.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (1)
Ajenti has potential Remote Code Execution
aj (pip): المتأثر < 2.2.13 → الإصدار المصحح 2.2.13
المواد الأولية والمصادر: GHSA-vcw3-r3fx-j444
10/27 23:30 JST تحديث
ConnectWise: اكتمال الاستعداد للاستعادة التدريجية، بانتظار تحقق جهة مستقلة
يوضح تحديث يوم 27 الساعة 14:30 UTC اكتمال الاستعداد للاستعادة التدريجية وانتظار التحقق الإلزامي من جهة مستقلة. لا يمثل إعلاناً عن بدء إتاحة الوصول للاستعادة أو الاستعادة الكاملة. استعادة Axcient Legacy Portal يوم 22 تخص حادثاً منفصلاً لمعالجة PHP.
ما ينبغي التحقق منه: أبقوا الاتصالات المعنية معطلة وانتظروا إرشادات الاستئناف الفردية. لا تعمموا التصريح بعدم وجود مؤشرات على اختراق أرشيفات النسخ الاحتياطية المشفرة على أنه تأكيد لعدم اختراق كل مستأجر Microsoft365.
المواد الأولية والمصادر: ConnectWise公式
10/27 23:45 JST مراجعة
Fireblocks mpc-lib: لا يزال الإصلاح غير متاح بعد مراجعة التقييم
مراجعة CERT VU701544 يوم 27 الساعة 14:45 UTC. قد تتيح حصة فرعية وchain code الوصول إلى حصة سابقة أو جذرية لطرف MPC نفسه، لكن ذلك لا يعادل الحصول على مفتاح تحويل كامل يتجاوز العتبة. لم يُعلن عن سرقة فعلية أو مبالغ أو عدد العملاء المتضررين.
ما ينبغي التحقق منه: تعاملوا مع الإصلاح على أنه غير متاح، واحموا chain code بوصفه معلومات سرية، وافحصوا التسلسل الهرمي بأكمله. لا تستخدموا Agent2.4.4 / SDK2.19.1 الخاصين بحادث eMudhra المنفصل باعتبارهما إصلاحاً لهذه الثغرة.
المواد الأولية والمصادر: CERT VU701544
10/27 تحديث رسمي
Fortinet FIPS: تعارض بين إصدار المعالجة 7.4 وبيان 7.2
تفيد المقالة التقنية المنشورة يوم 27 بتوفر إصدار تعزيز أمان FIPS. الإصدار 7.4 هو FIPS-CC-74-15 b9481. بالنسبة إلى 7.2، لا يتطابق b9883 في النص مع b9893 في مسار التنزيل. ويذكر أن دعم 7.0 FIPS الممتد انتهى، ولا توجد خطة لإصدار حالي له.
ما ينبغي التحقق منه: طابقوا الطراز ورقم البناء في ReadMe الرسمي وتنزيلات الدعم. لا تطبقوا تلقائياً اعتماداً على الرقم الملتبس لـ 7.2. لا تستخدموا جدول تعزيز أمان إصدار GA بوصفه تحديداً للحد الأدنى للإصدارات المصححة في تنبيهات PSIRT الفردية التي لم تُجلب.
المواد الأولية والمصادر: Fortinet技術記事 / 公式hardening案内
نافذة نشر GHSA الحالية / تصنيف malware
الحزم الخبيثة: مراجعة منفصلة لـ 27 تنبيهات مصنفة malware في GHSA
تشمل trajmetrics0.5.3 وnumprint1.2.0 و@azure-growth/signup-ux-components1.2.2/1.2.3 وغيرها. النطاقات أدناه هي كما وردت في تنبيهات GitHub. لا يعني ذلك اختراق جميع الحزم المشروعة ذات الأسماء المشابهة. لا تحسبوا 27 تنبيهات باعتبارها 27 مؤسسات متضررة جديدة.
ما ينبغي التحقق منه: طابقوا ملف القفل وSBOM وذاكرة التخزين المؤقت للجلب، ولا تشغّلوا الملفات المشبوهة للتحقق منها. إذا ثُبتت أو شُغلت بالفعل، فاعزلوا البيئة وأعيدوا بناءها، وألغوا بيانات الاعتماد التي كان يمكن الوصول إليها. لا تفسروا عدم ذكر إصدار مصحح على أنه وجود إصدار آمن أو إمكان الحل بمجرد رفع الإصدار.
بحسب التنبيه: الإصدارات المتأثرة والإصدارات المصححة (27)
Malicious code in trajmetrics (PyPI)
trajmetrics (pip): المتأثر = 0.5.3 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in glyphmatrix-fixture
glyphmatrix-fixture (npm): المتأثر = 1.0.0 → الإصدار المصحح لا يوجد ذكر لإصدار مصححglyphmatrix-fixture (npm): المتأثر = 1.0.1 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in csec-form-validatorr
csec-form-validatorr (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in ccsseecc-form-validator
ccsseecc-form-validator (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in ccsseecc-crypto-toolkit
ccsseecc-crypto-toolkit (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in ccsec-crypto-toolkit
ccsec-crypto-toolkit (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in ccsec-form-validator
ccsec-form-validator (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in csec-crypto-toolkit
csec-crypto-toolkit (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in csec-form-validator
csec-form-validator (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in agentenact
agentenact (npm): المتأثر = 0.2.0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in dsh-vm-tester
dsh-vm-tester (npm): المتأثر = 0.1.4 → الإصدار المصحح لا يوجد ذكر لإصدار مصححdsh-vm-tester (npm): المتأثر = 0.1.2 → الإصدار المصحح لا يوجد ذكر لإصدار مصححdsh-vm-tester (npm): المتأثر = 0.1.3 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malicious code in numprint (PyPI)
numprint (pip): المتأثر = 1.2.0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in 6161test1234
6161test1234 (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in adyen-web-v6
adyen-web-v6 (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in buttoncontent
buttoncontent (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in @tableau__catalog-messages/database_lower
@tableau__catalog-messages/database_lower (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in string-target-mapper-hash
string-target-mapper-hash (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in @flexmr/survey-conversation
@flexmr/survey-conversation (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in @flexmr/utils
@flexmr/utils (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in fetch-hash-cache-atomic
fetch-hash-cache-atomic (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in @flexmr/survey-client
@flexmr/survey-client (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in macro-kernel-record-reader
macro-kernel-record-reader (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in paychex-pdftron
paychex-pdftron (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in sc-announcer
sc-announcer (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in ccl-global-shopping
ccl-global-shopping (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malware in sc-hydrate-carousel-price
sc-hydrate-carousel-price (npm): المتأثر >= 0 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
Malicious code in @azure-growth/signup-ux-components (npm)
@azure-growth/signup-ux-components (npm): المتأثر = 1.2.2 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح@azure-growth/signup-ux-components (npm): المتأثر = 1.2.3 → الإصدار المصحح لا يوجد ذكر لإصدار مصحح
المواد الأولية والمصادر: GitHub malware勧告 GHSA-rm9p-x4m7-hxmp / GitHub malware勧告 GHSA-vc33-3x34-x6jm / GitHub malware勧告 GHSA-ph3g-jrf5-8792 / GitHub malware勧告 GHSA-h5wr-j55v-8m79 / GitHub malware勧告 GHSA-v9xw-mxj4-fm5q / GitHub malware勧告 GHSA-2732-c6cp-rx5v / GitHub malware勧告 GHSA-r889-j2qv-2jv6 / GitHub malware勧告 GHSA-v383-2358-576w / GitHub malware勧告 GHSA-wh86-6qm8-xgw2 / GitHub malware勧告 GHSA-7p7m-8jmq-qp93 / GitHub malware勧告 GHSA-84fw-gj66-p5v3 / GitHub malware勧告 GHSA-g9fj-q87h-6h4c / GitHub malware勧告 GHSA-r9qx-xcg2-7wcc / GitHub malware勧告 GHSA-r77r-rw3m-rjh5 / GitHub malware勧告 GHSA-6crh-vwr2-4qfp / GitHub malware勧告 GHSA-wmfr-2pvv-wmf3 / GitHub malware勧告 GHSA-wfcx-722r-fg5h / GitHub malware勧告 GHSA-hc8w-gq4q-fr74 / GitHub malware勧告 GHSA-hpc9-fxqh-hhf8 / GitHub malware勧告 GHSA-w9mp-cvjp-jfqp / GitHub malware勧告 GHSA-rh7q-f888-q36c / GitHub malware勧告 GHSA-32g3-f74c-pcxq / GitHub malware勧告 GHSA-9mgv-25w8-jwhf / GitHub malware勧告 GHSA-fxw2-4j5q-6hwg / GitHub malware勧告 GHSA-hh3m-f424-g8v5 / GitHub malware勧告 GHSA-9gcx-88qx-rxch / GitHub malware勧告 GHSA-m8mp-r4jx-43fw