INFOSEC BRIEFING

Data penelitian insiden dan kerentanan

Ini adalah catatan penelitian berdasarkan sumber primer publik. Informasi disusun agar kondisi dan catatannya dapat diperiksa serta panduan resminya dapat diakses kembali.

Waktu acuan penelitian: 2026-10-28T13:18:44+09:00

Jumlah pokok bahasan di sini bukan jumlah insiden baru yang menimbulkan korban.

Teks asli bahasa Jepang · Pilih bahasa · Unduh data terjemahan dalam JSON

Pembaruan entri dan advisori yang diperiksa kali ini · 62

Dikonfirmasi sekitar 10/28 04:00 / laporan ke-13 pada 11:00 JST

GMO: penonaktifan domain situs pelaku dan perkembangan informasi kompensasi

Laporan ke-13 mengonfirmasi penonaktifan domain situs pelaku sekitar pukul 04:00 pada tanggal 28 bulan 10. Penonaktifan ini tidak berarti informasi telah ditarik kembali, salinannya telah dihapus, atau pemulihan layanan telah selesai. Batas santunan khusus sebesar 300 puluh ribu yen dalam laporan ke-12 merupakan skema bersyarat, bukan total kerugian atau jumlah yang sudah dibayarkan. Laporan ke-12 memiliki ketidaksesuaian antara judul 19:10 dan bagian kronologi 19:00.

Hal yang perlu diperiksa: Jangan mengakses situs pelaku atau materi yang bocor. Periksa pemberitahuan individual resmi, lingkungan alternatif, dan ketentuan kompensasi. Jangan menanggapi pesan yang memanfaatkan situasi ini untuk meminta kredensial atau biaya.

Materi primer dan sumber: GMO第13報 / GMO第12報

Diperbarui 10/28 12:30 JST

@link: uji coba versi beta di sebagian fasilitas medis, belum beroperasi kembali sepenuhnya

Pembaruan pukul 12:30 pada tanggal 28 bulan 10 menyatakan bahwa penggunaan uji coba versi beta cloud baru dimulai di sebagian fasilitas medis. Aplikasi pasien, reservasi web, integrasi sistem eksternal, dan fungsi lainnya masih dihentikan. Dampak terhadap pengelolaan reservasi fasilitas medis masih berlangsung, dan jumlah subjek kebocoran masih diselidiki.

Hal yang perlu diperiksa: Konfirmasikan reservasi dan perubahannya langsung kepada fasilitas medis yang digunakan. Bedakan rencana pembukaan kembali dan pengembalian dana dari tindakan yang sudah dilaksanakan, serta periksa petunjuk pengaturan ulang kata sandi saat layanan dibuka kembali.

Materi primer dan sumber: @link運営状況 / メドレー

Status 10/28 00:19 JST

Railway: pendaftaran baru masih dihentikan, jadwal laporan berikutnya setelah waktu acuan

Pembaruan status pada tanggal 27 bulan 10 pukul 15:19 UTC juga menyatakan bahwa pendaftaran baru masih dihentikan dan tanggal pembukaannya belum ditentukan. Bedakan kelangsungan deployment yang sudah ada dari gangguan build, dashboard, dan fungsi lainnya. Sekitar 100,000 workspace dan maksimum 1.85% merupakan cakupan potensi dampak terhadap variabel lingkungan, bukan jumlah orang yang kebocoran datanya sudah dipastikan.

Hal yang perlu diperiksa: Cabut dan terbitkan ulang secret lama melalui penerbitnya, lalu lakukan audit. Jangan memperlakukan jadwal berikutnya pada tanggal 28 bulan 10 pukul 16:00 UTC sebagai hasil pemulihan pada waktu acuan kali ini.

Materi primer dan sumber: Railway status / 公式予備報告

Diperbarui 10/28 00:30 JST

Studio: penerimaan laporan bersama dijadwalkan pada awal bulan 11

Dalam pembaruan tanggal 28 pukul 00:30, penerimaan laporan bersama kepada Komisi Perlindungan Informasi Pribadi belum dimulai. Pemberitahuan kepada individu terkait tidak termasuk dalam pelaporan bersama. Pembacaan kunci enkripsi dan kondisi yang memungkinkan pengambilan dari luar telah dikonfirmasi, tetapi jumlah data yang benar-benar diambil belum dipastikan.

Hal yang perlu diperiksa: Selidiki penggunaan data formulir yang sebenarnya dan tentukan secara terpisah kebutuhan pemberitahuan kepada individu terkait. Cabut kunci API eksternal melalui penerbitnya. Jangan menganggap pembaruan kunci saja menghapus kemungkinan pengambilan data pada masa lalu.

Materi primer dan sumber: Studio公式ポータル

Rilis katalog 10/28 04:00:02 JST

KEV: Brotli dan Adobe Commerce ditambahkan, konfirmasi eksploitasi menjadi pertimbangan prioritas

Edisi CISA 2026.10.27 memuat 1,760 entri. CVE-2026-111497 dan CVE-2026-48356 baru ditambahkan, dengan tenggat tanggal 10 bulan 11. Ini merupakan konfirmasi eksploitasi kerentanan, bukan berarti semua lingkungan .NET dan Node.js atau semua merchant telah disusupi. Jumlah korban dan nilai kerugian aktual tidak disebutkan.

Hal yang perlu diperiksa: Periksa perbaikan khusus produk, termasuk Brotli 1.2.1 serta Node.js 22.23.4 / 24.22.1 / 26.12.1. Untuk Adobe, periksa pembaruan kumulatif Juli menurut versi dalam APSB26-73. Jangan menganggap tenggat KEV untuk instansi federal AS sebagai tenggat hukum bagi semua pengguna.

Materi primer dan sumber: CISA KEV / Google Brotli / Node.js / Adobe APSB26-73

Perkembangan resmi setelah waktu acuan sebelumnya

Citrix NetScaler: periksa versi perbaikan PHP untuk setiap lini

CTX697263 mengarahkan pembaruan ADC/Gateway ke 14.1-73.49, 13.1-64.32, 14.1-73.49 FIPS, 13.1-FIPS/NDcPP 13.1.37.286 atau versi lebih baru. Cloud yang dikelola vendor dinyatakan telah ditangani dan tidak memerlukan tindakan pelanggan.

Hal yang perlu diperiksa: Cocokkan versi appliance yang dikelola sendiri untuk setiap lini. Jangan menilai keberadaan backport perbaikan hanya dari tampilan versi PHP upstream. Batasi antarmuka pengelolaan dan selidiki kemungkinan penyusupan.

Materi primer dan sumber: Citrix CTX697263

Tabel terkini dari revisi resmi 10/27

PAN-OS: bedakan versi yang sudah dirilis dari yang masih bertanda ETA

Tabel resmi memuat versi perbaikan seperti 12.2.4-h1 / 12.1.7-h11 / 11.2.10-h16, sementara 11.2.13-h4 dan 11.2.16-h1 masih bertanda ETA. Lewatnya tanggal rencana saja tidak berarti versi tersebut sudah dirilis. Masalah PHP ini berada pada antarmuka pengelolaan; semua lalu lintas data plane tidak otomatis memiliki kondisi yang sama.

Hal yang perlu diperiksa: Periksa rilis aktual setiap lini melalui tabel resmi AffectedVersions, lalu lakukan pembaruan. Batasi antarmuka pengelolaan hanya untuk sumber koneksi tepercaya dan periksa tanda penyusupan secara terpisah dari pembaruan.

Materi primer dan sumber: Palo Alto Networks

Dipublikasikan 10/27

WatchGuard: 18 advisori, periksa kondisi integrasi AD dan klien Windows

Daftar resmi tanggal 27 bulan 10 memuat 17 advisori Fireware dan 1 advisori Windows Mobile VPN SSL. Heap overflow pada autentikasi AD memerlukan kondisi tertentu, termasuk konfigurasi AD. Masalah penyadapan komunikasi lokal klien VPN juga mencakup sisi Windows. Dalam advisori tersebut, vendor menyatakan belum mengetahui adanya eksploitasi aktual.

Hal yang perlu diperiksa: Perbarui sesuai lini, termasuk Fireware 2026.4 / 12.12.4 dan 12.5.22 untuk T15/T35. Untuk CVE-2026-115495, perbarui klien VPN Windows ke 2026.4; pembaruan perangkat Firebox saja tidak cukup. Cocokkan perbedaan penulisan antara bagian Solution dan tabel produk dengan sumber asli.

Materi primer dan sumber: WatchGuard PSIRT / AD認証 / Windows VPN

Dirilis 10/27

Browser dan email: pembaruan Firefox / ESR / Thunderbird / Chrome

Mozilla merilis Firefox 159, ESR 153.6 / 115.44, serta Thunderbird 159 / 153.6 pada tanggal 27 bulan 10. Chrome stable didistribusikan bertahap: Windows/Mac 156.0.8078.73/.74 dan Linux/Android 156.0.8078.73. Jumlah advisori bukan jumlah insiden yang menimbulkan korban.

Hal yang perlu diperiksa: Jalankan pembaruan dan mulai ulang. Periksa lini yang didukung sesuai OS dan kebijakan pengelolaan perusahaan. Jangan menambahkan CVE rekaan atau penetapan zero-day pada bagian Chrome yang rinciannya belum dipublikasikan.

Materi primer dan sumber: Mozilla / Firefox159 / Chrome releases

Advisori 10/27

Creative Cloud Windows: perbaikan eskalasi hak akses lokal

APSB26-135 memperbaiki masalah jalur pencarian pada versi Windows 6.10 dan sebelumnya melalui 6.11. Vendor menyatakan tidak ada eksploitasi aktual yang diketahui. Ini bukan pengumuman bahwa penyusupan terhadap pengguna telah dikonfirmasi.

Hal yang perlu diperiksa: Perbarui Creative Cloud Desktop ke 6.11 atau versi lebih baru. Periksa versi aktual pada perangkat yang digunakan.

Materi primer dan sumber: Adobe APSB26-135

Publikasi GHSA: 2026-10-27T21:26:32Z hingga 2026-10-27T21:26:56Z

MLflow: pembacaan file, eksekusi scorer, dan pencatatan kunci dalam trace

Selain server tanpa autentikasi, sebagian masalah juga mencakup pengguna berhak akses rendah dengan basic-auth. Termasuk masalah pencatatan kunci API dalam trace autolog CrewAI. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Perbarui ke 3.17.0. Batasi akses publik, periksa tujuan keluaran trace dan OTLP, serta cabut kunci provider yang terekspos.

Per advisori: versi terdampak dan versi perbaikan (3)

GHSA-m65p-9j7q-6w33

MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source

mlflow (pip): Versi terdampak >= 3.10.0, < 3.17.0 → Versi perbaikan 3.17.0

GHSA-j7qq-vr8c-xvw3

MLflow CrewAI autologging records LLM provider API keys in logged trace spans

mlflow (pip): Versi terdampak >= 2.19.0, < 3.17.0 → Versi perbaikan 3.17.0

GHSA-26p8-2jq9-3vq9

MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules

mlflow (pip): Versi terdampak >= 3.12.0rc0, < 3.17.0 → Versi perbaikan 3.17.0

Materi primer dan sumber: GHSA-m65p-9j7q-6w33 / GHSA-j7qq-vr8c-xvw3 / GHSA-26p8-2jq9-3vq9

Publikasi GHSA: 2026-10-27T21:07:25Z hingga 2026-10-27T21:07:25Z

dd-trace-js: periksa advisori yang dipublikasikan dan cakupan perbaikan

Dikonfirmasi ada 1 advisori dalam rentang publikasi GHSA kali ini. Lihat materi masing-masing pengembang untuk kondisi yang diperlukan, seperti fitur, input, dan hak akses yang terdampak. Waktu pendaftaran bukan tanggal rilis pertama atau waktu serangan aktual. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Cocokkan cakupan terdampak dan versi perbaikan untuk setiap advisori di bawah. Jangan menganggap lini yang tidak mencantumkan versi perbaikan sudah diperbaiki; periksa petunjuk migrasi dan mitigasi sementara dari pengembang.

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-x94g-w73q-hpcw

dd-trace: ReDOS in URL query string obfuscation

dd-trace (npm): Versi terdampak >= 2.0.0, < 5.131.1 → Versi perbaikan 5.131.1
dd-trace (npm): Versi terdampak >= 6.0.0, < 6.20.1 → Versi perbaikan 6.20.1

Materi primer dan sumber: GHSA-x94g-w73q-hpcw

Publikasi GHSA: 2026-10-27T21:07:12Z hingga 2026-10-27T21:07:12Z

tinymce: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-mf2p-h6hf-fcwm

TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization

tinymce (npm): Versi terdampak >= 8.5.1, < 8.9.3 → Versi perbaikan 8.9.3
TinyMCE (nuget): Versi terdampak >= 8.5.1, < 8.9.3 → Versi perbaikan 8.9.3
tinymce/tinymce (composer): Versi terdampak >= 8.5.1, < 8.9.3 → Versi perbaikan 8.9.3
tinymce (npm): Versi terdampak = 7.9.3 → Versi perbaikan 7.9.4
TinyMCE (nuget): Versi terdampak = 7.9.3 → Versi perbaikan 7.9.4
tinymce/tinymce (composer): Versi terdampak = 7.9.3 → Versi perbaikan 7.9.4

Materi primer dan sumber: GHSA-mf2p-h6hf-fcwm

Publikasi GHSA: 2026-10-27T21:05:29Z hingga 2026-10-27T21:06:59Z

MCP Python SDK: validasi audience serta redirect dan referensi schema

Bedakan validasi resource tujuan bearer token, penerusan header khusus dan body melalui redirect lintas origin, serta SSRF dan penghentian akibat referensi eksternal outputSchema. Jangan menganggapnya hanya sebagai kebocoran header Authorization. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Perbarui ke 1.30.0 / 2.2.0 atau versi lebih baru. Penanganan audience juga memerlukan validate_token_resource=True, resource_server_url, dan pengembalian AccessToken.resource. Pembaruan saja tidak mengaktifkan validasi.

Per advisori: versi terdampak dan versi perbaikan (3)

GHSA-w4fh-qvv9-3v23

Model Context Protocol Python SDK: Server bearer-token authentication accepts tokens issued for a different resource server

mcp (pip): Versi terdampak >= 2.0.0, < 2.2.0 → Versi perbaikan 2.2.0
mcp (pip): Versi terdampak >= 1.10.0, < 1.30.0 → Versi perbaikan 1.30.0

GHSA-5h93-6whr-6q8j

Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies

mcp (pip): Versi terdampak >= 2.0.0, < 2.2.0 → Versi perbaikan 2.2.0
mcp (pip): Versi terdampak >= 1.8.0, < 1.30.0 → Versi perbaikan 1.30.0

GHSA-rwrf-2pqf-9j8j

Model Context Protocol Python SDK: Client fetched server-chosen $ref URLs while validating tool results against output schemas

mcp (pip): Versi terdampak >= 2.0.0, < 2.2.0 → Versi perbaikan 2.2.0
mcp (pip): Versi terdampak >= 1.10.0, < 1.30.0 → Versi perbaikan 1.30.0

Materi primer dan sumber: GHSA-w4fh-qvv9-3v23 / GHSA-5h93-6whr-6q8j / GHSA-rwrf-2pqf-9j8j

Publikasi GHSA: 2026-10-27T21:06:54Z hingga 2026-10-27T21:06:54Z

opentelemetry-python: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-f5m9-jfrj-jjj7

OpenTelemetry Python: Unbounded memory allocation in Jaeger baggage propagation

opentelemetry-propagator-jaeger (pip): Versi terdampak <= 1.44.0 → Versi perbaikan 1.45.0

Materi primer dan sumber: GHSA-f5m9-jfrj-jjj7

Publikasi GHSA: 2026-10-27T21:05:06Z hingga 2026-10-27T21:05:13Z

ckeditor5: periksa advisori yang dipublikasikan dan cakupan perbaikan

Dikonfirmasi ada 2 advisori dalam rentang publikasi GHSA kali ini. Lihat materi masing-masing pengembang untuk kondisi yang diperlukan, seperti fitur, input, dan hak akses yang terdampak. Waktu pendaftaran bukan tanggal rilis pertama atau waktu serangan aktual. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-v6mg-96c6-gmpq

CKEditor: Cross-site scripting (XSS) in the engine package

ckeditor5 (npm): Versi terdampak >= 29.0.0, < 47.7.4 → Versi perbaikan 47.7.4
@ckeditor/ckeditor5-engine (npm): Versi terdampak >= 29.0.0, < 47.7.4 → Versi perbaikan 47.7.4
ckeditor5 (npm): Versi terdampak >= 48.0.0, < 48.5.1 → Versi perbaikan 48.5.1
@ckeditor/ckeditor5-engine (npm): Versi terdampak >= 48.0.0, < 48.5.1 → Versi perbaikan 48.5.1

GHSA-rh54-vffm-5fvp

CKEditor: Cross-site scripting (XSS) in the engine package

ckeditor5 (npm): Versi terdampak >= 45.0.0, < 47.7.4 → Versi perbaikan 47.7.4
@ckeditor/ckeditor5-engine (npm): Versi terdampak >= 45.0.0, < 47.7.4 → Versi perbaikan 47.7.4
ckeditor5 (npm): Versi terdampak >= 48.0.0, < 48.5.1 → Versi perbaikan 48.5.1
@ckeditor/ckeditor5-engine (npm): Versi terdampak >= 48.0.0, < 48.5.1 → Versi perbaikan 48.5.1

Materi primer dan sumber: GHSA-v6mg-96c6-gmpq / GHSA-rh54-vffm-5fvp

Publikasi GHSA: 2026-10-27T21:04:57Z hingga 2026-10-27T21:04:57Z

neko: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-5cp7-fp4j-wwcv

Neko: Authorization bypass in legacy WebRTC input handling

github.com/m1k1o/neko/server (go): Versi terdampak >= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b → Versi perbaikan 0.0.0-20260805142851-395ca1a6f62b

Materi primer dan sumber: GHSA-5cp7-fp4j-wwcv

Publikasi GHSA: 2026-10-27T21:04:50Z hingga 2026-10-27T21:04:50Z

Atlantis: injeksi perintah workspace pada tahap plan

Workspace dalam atlantis.yaml pada PR yang menjalankan plan menjadi jalur serangan. Masalah dapat terjadi meskipun tanpa custom workflow atau hak akses apply. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Perbarui ke 0.47.1. Batasi eksekusi plan untuk PR yang tidak tepercaya dan periksa hak akses cloud/VCS milik runner.

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-rjh2-4xgw-p2hj

Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan

github.com/runatlantis/atlantis (go): Versi terdampak >= 0.4.0, <= 0.47.0 → Versi perbaikan 0.47.1

Materi primer dan sumber: GHSA-rjh2-4xgw-p2hj

Publikasi GHSA: 2026-10-27T21:04:40Z hingga 2026-10-27T21:04:40Z

filebrowser: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-mgqf-5mf5-prfj

FileBrowser: Symlink following escapes user scope allowing arbitrary file read outside the served directory

github.com/gtsteffaniak/filebrowser/backend (go): Versi terdampak < 0.0.0-20260814233832-4126edeb07a0 → Versi perbaikan 0.0.0-20260814233832-4126edeb07a0

Materi primer dan sumber: GHSA-mgqf-5mf5-prfj

Publikasi GHSA: 2026-10-27T16:09:45Z hingga 2026-10-27T19:02:31Z

undici: validasi TLS, batas cache, dan DoS

Masalah bergantung pada kondisi seperti penerusan opsi TLS, redirect lintas origin dan cache bersama, serta buffering WebSocket. Jangan menganggap fetch bawaan Node.js dan dependensi npm terpisah sebagai versi deployment yang sama. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Cocokkan lini terkait 6.29.1 / 7.30.1 / 8.12.2. Perbarui dependensi npm dan runtime bawaan secara terpisah, serta periksa pengaturan berbagi cache, redirect, dan TLS.

Per advisori: versi terdampak dan versi perbaikan (6)

GHSA-4w7w-5xrc-9h26

undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects

undici (npm): Versi terdampak >= 7.0.0, < 7.30.1 → Versi perbaikan 7.30.1
undici (npm): Versi terdampak >= 8.0.0, < 8.12.2 → Versi perbaikan 8.12.2

GHSA-2m5v-pch6-74hx

undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent

undici (npm): Versi terdampak >= 4.0.0, < 6.29.1 → Versi perbaikan 6.29.1
undici (npm): Versi terdampak >= 7.0.0, < 7.30.1 → Versi perbaikan 7.30.1
undici (npm): Versi terdampak >= 8.0.0, < 8.12.2 → Versi perbaikan 8.12.2

GHSA-qrxm-fqhp-jwvm

undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation

undici (npm): Versi terdampak >= 4.2.1, < 6.29.1 → Versi perbaikan 6.29.1
undici (npm): Versi terdampak >= 7.0.0, < 7.30.1 → Versi perbaikan 7.30.1
undici (npm): Versi terdampak >= 8.0.0, < 8.12.2 → Versi perbaikan 8.12.2

GHSA-9fm3-97px-rjf6

undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering

undici (npm): Versi terdampak >= 5.15.0, < 6.29.1 → Versi perbaikan 6.29.1
undici (npm): Versi terdampak >= 7.0.0, < 7.30.1 → Versi perbaikan 7.30.1
undici (npm): Versi terdampak >= 8.0.0, < 8.12.2 → Versi perbaikan 8.12.2

GHSA-55wc-3pg8-jfw6

undici vulnerable to Denial of Service via unhandled exception in the decompress interceptor

undici (npm): Versi terdampak >= 7.15.0, < 7.30.1 → Versi perbaikan 7.30.1
undici (npm): Versi terdampak >= 8.0.0, < 8.12.2 → Versi perbaikan 8.12.2

GHSA-qq8j-7v2v-3rwp

undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake

undici (npm): Versi terdampak >= 8.11.0, < 8.11.2 → Versi perbaikan 8.11.2

Materi primer dan sumber: GHSA-4w7w-5xrc-9h26 / GHSA-2m5v-pch6-74hx / GHSA-qrxm-fqhp-jwvm / GHSA-9fm3-97px-rjf6 / GHSA-55wc-3pg8-jfw6 / GHSA-qq8j-7v2v-3rwp

Publikasi GHSA: 2026-10-27T19:02:00Z hingga 2026-10-27T19:02:00Z

MCP TypeScript SDK: batas ukuran body HTTP dan panjang batch

Masalahnya adalah konsumsi sumber daya akibat body yang terlalu besar dan batch JSON-RPC pada transport/handler HTTP. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Cocokkan paket yang benar-benar digunakan, seperti sdk 1.30.1, server/node 2.1.0, dan hono 2.0.1, serta tetapkan batas pada reverse proxy.

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-f897-62hf-6gxq

MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length

@modelcontextprotocol/sdk (npm): Versi terdampak >= 1.10.0, < 1.30.1 → Versi perbaikan 1.30.1
@modelcontextprotocol/server (npm): Versi terdampak >= 2.0.0, < 2.1.0 → Versi perbaikan 2.1.0
@modelcontextprotocol/node (npm): Versi terdampak >= 2.0.0, < 2.1.0 → Versi perbaikan 2.1.0
@modelcontextprotocol/hono (npm): Versi terdampak >= 2.0.0, < 2.0.1 → Versi perbaikan 2.0.1

Materi primer dan sumber: GHSA-f897-62hf-6gxq

Publikasi GHSA: 2026-10-27T19:01:39Z hingga 2026-10-27T19:01:50Z

symfony: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-2v3c-qxhr-7vpv

Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process

symfony/symfony (composer): Versi terdampak >= 2.0.0, < 5.4.54 → Versi perbaikan 5.4.54
symfony/symfony (composer): Versi terdampak >= 6.0.0, < 6.4.45 → Versi perbaikan 6.4.45
symfony/symfony (composer): Versi terdampak >= 7.0.0, < 7.4.18 → Versi perbaikan 7.4.18
symfony/symfony (composer): Versi terdampak >= 8.0.0, < 8.1.6 → Versi perbaikan 8.1.6
symfony/yaml (composer): Versi terdampak >= 2.0.0, < 5.4.54 → Versi perbaikan 5.4.54
symfony/yaml (composer): Versi terdampak >= 6.0.0, < 6.4.45 → Versi perbaikan 6.4.45
symfony/yaml (composer): Versi terdampak >= 7.0.0, < 7.4.18 → Versi perbaikan 7.4.18
symfony/yaml (composer): Versi terdampak >= 8.0.0, < 8.1.6 → Versi perbaikan 8.1.6

GHSA-r925-mgvr-h9cc

Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header

symfony/http-foundation (composer): Versi terdampak >= 6.0.1, < 6.4.46 → Versi perbaikan 6.4.46
symfony/http-foundation (composer): Versi terdampak >= 7.0.0, < 7.4.19 → Versi perbaikan 7.4.19
symfony/http-foundation (composer): Versi terdampak >= 8.0.0, < 8.1.7 → Versi perbaikan 8.1.7
symfony/symfony (composer): Versi terdampak >= 6.0.1, < 6.4.46 → Versi perbaikan 6.4.46
symfony/symfony (composer): Versi terdampak >= 7.0.0, < 7.4.19 → Versi perbaikan 7.4.19
symfony/symfony (composer): Versi terdampak >= 8.0.0, < 8.1.7 → Versi perbaikan 8.1.7
symfony/http-foundation (composer): Versi terdampak >= 4.1.0, < 5.4.54 → Versi perbaikan 5.4.54
symfony/symfony (composer): Versi terdampak >= 4.1.0, < 5.4.54 → Versi perbaikan 5.4.54

Materi primer dan sumber: GHSA-2v3c-qxhr-7vpv / GHSA-r925-mgvr-h9cc

Publikasi GHSA: 2026-10-27T19:01:30Z hingga 2026-10-27T19:01:30Z

go-jose: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-mgcc-cww5-fp2q

Go JOSE: DoS when parsing JWKs that contain RSA keys

github.com/go-jose/go-jose/v4 (go): Versi terdampak <= 4.1.5 → Versi perbaikan 4.1.6
github.com/go-jose/go-jose/v3 (go): Versi terdampak <= 3.0.5 → Versi perbaikan Versi perbaikan tidak disebutkan

Materi primer dan sumber: GHSA-mgcc-cww5-fp2q

Publikasi GHSA: 2026-10-27T19:00:50Z hingga 2026-10-27T19:00:50Z

terraform-provider-ctfd: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-vg84-c5mg-76xh

CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values

github.com/ctfer-io/terraform-provider-ctfd (go): Versi terdampak >= 0.1.5, <= 1.1.0 → Versi perbaikan Versi perbaikan tidak disebutkan
github.com/ctfer-io/terraform-provider-ctfd/v2 (go): Versi terdampak < 2.8.2 → Versi perbaikan 2.8.2

Materi primer dan sumber: GHSA-vg84-c5mg-76xh

Publikasi GHSA: 2026-10-27T17:08:41Z hingga 2026-10-27T17:08:41Z

hydra: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-wf6j-7hvr-gr93

Hydra legacy target blacklist permits unsafe PyYAML loading

hydra-core (pip): Versi terdampak >= 1.3.6, < 1.3.8 → Versi perbaikan 1.3.8
hydra-core (pip): Versi terdampak >= 1.4.0.dev9, < 1.4.0rc3 → Versi perbaikan 1.4.0rc3

Materi primer dan sumber: GHSA-wf6j-7hvr-gr93

Publikasi GHSA: 2026-10-27T16:10:55Z hingga 2026-10-27T16:10:55Z

qs: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-6pq8-jhm2-2vcw

qs : qs.stringify with arrayFormat 'comma' throws an uncaught TypeError on array elements carrying a non-callable own toString (DoS)

qs (npm): Versi terdampak >= 6.7.0, <= 6.16.0 → Versi perbaikan 6.16.1

Materi primer dan sumber: GHSA-6pq8-jhm2-2vcw

Publikasi GHSA: 2026-10-27T14:50:18Z hingga 2026-10-27T16:09:22Z

Authlib: batas validasi tanda tangan, nonce, audience, dan lainnya

Mencakup signature kosong, kunci HMAC kosong, algorithm confusion, SSRF melalui request_uri, dan lainnya. 1.9.0 saja belum mencukupi untuk memperbaiki masalah kunci HMAC kosong. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Periksa 1.9.1 atau versi lebih baru. Cocokkan issuer/audience/nonce/algorithm yang diizinkan serta pengaturan kunci, dan batasi tujuan pengambilan request_uri.

Per advisori: versi terdampak dan versi perbaikan (8)

GHSA-8m4g-j4wp-wgcg

Authlib accepts an empty HMAC key, allowing JWS/JWT signature forgery (HS256/HS384/HS512)

Authlib (pip): Versi terdampak < 1.9.1 → Versi perbaikan 1.9.1

GHSA-x4rv-c3wx-4cr8

Authlib: Unvalidated request_uri fetch in JWT-secured authorization request (JAR) leading to SSRF

authlib (pip): Versi terdampak >= 1.6.0, < 1.9.0 → Versi perbaikan 1.9.0

GHSA-c5mf-xmp2-59rc

Authlib: ID token can disable its own nonce validation via the nonce_supported claim

authlib (pip): Versi terdampak <= 1.8.0 → Versi perbaikan 1.9.0

GHSA-fch4-3c6x-j4gc

Authlib: Default JWT bearer grant accepts assertions for the wrong audience

authlib (pip): Versi terdampak < 1.9.0 → Versi perbaikan 1.9.0

GHSA-q686-2qmg-hqc7

Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens

authlib (pip): Versi terdampak < 1.9.0 → Versi perbaikan 1.9.0

GHSA-7vr2-2fgp-9w7p

Authlib incomplete algorithm-confusion fix permits HMAC forgery with prefixed public keys

authlib (pip): Versi terdampak >= 1.3.1, <= 1.8.0 → Versi perbaikan 1.9.0

GHSA-jj7h-c3hg-m23x

Authlib: is_secure_transport() loopback exemption can be bypassed with a userinfo component, allowing cleartext-HTTP URLs to non-loopback hosts

authlib (pip): Versi terdampak <= 1.7.2 → Versi perbaikan 1.8.0

GHSA-6v38-4h7w-rj9h

Authlib: empty signatures validation in JWS JSON deserialization

authlib (pip): Versi terdampak <= 1.8.0 → Versi perbaikan 1.9.0

Materi primer dan sumber: GHSA-8m4g-j4wp-wgcg / GHSA-x4rv-c3wx-4cr8 / GHSA-c5mf-xmp2-59rc / GHSA-fch4-3c6x-j4gc / GHSA-q686-2qmg-hqc7 / GHSA-7vr2-2fgp-9w7p / GHSA-jj7h-c3hg-m23x / GHSA-6v38-4h7w-rj9h

Publikasi GHSA: 2026-10-27T16:08:36Z hingga 2026-10-27T16:08:59Z

rustls: informasi rahasia TLS, ECH, dan pemrosesan kompresi

Bedakan informasi rahasia dalam keluaran Debug, buffer saat ECH ditolak, status pertukaran kunci, dan jumlah alokasi saat dekompresi sertifikat Brotli. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Perbarui ke lini stabil 0.23.46 dan periksa log Debug yang memuat rahasia. Untuk lini pengembangan 0.24, gunakan dev.2.

Per advisori: versi terdampak dan versi perbaikan (4)

GHSA-vp88-798v-h67f

rustls: ECH rejection can expose buffered application data to authenticated outer server before `ech_required` alert

rustls (rust): Versi terdampak >= 0.23.44, < 0.23.46 → Versi perbaikan 0.23.46
rustls (rust): Versi terdampak >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versi perbaikan 0.24.0-dev.2

GHSA-w44r-93j7-qv28

rustls: An unauthenticated ServerHello poisons the per-name key-exchange record, so later ClientHellos carry only a classical X25519 share

rustls (rust): Versi terdampak < 0.23.46 → Versi perbaikan 0.23.46
rustls (rust): Versi terdampak >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versi perbaikan 0.24.0-dev.2

GHSA-c8m5-c952-6cm4

Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs

rustls (rust): Versi terdampak < 0.23.46 → Versi perbaikan 0.23.46
rustls (rust): Versi terdampak >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versi perbaikan 0.24.0-dev.2

GHSA-h2v8-394m-p7vv

Rustls: Brotli certificate decompression can allocate an attacker-controlled amount of memory up to 1 GiB before authentication.

rustls (rust): Versi terdampak < 0.23.46 → Versi perbaikan 0.23.46
rustls (rust): Versi terdampak >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versi perbaikan 0.24.0-dev.2

Materi primer dan sumber: GHSA-vp88-798v-h67f / GHSA-w44r-93j7-qv28 / GHSA-c8m5-c952-6cm4 / GHSA-h2v8-394m-p7vv

Publikasi GHSA: 2026-10-27T15:38:22Z hingga 2026-10-27T15:38:39Z

PhpSpreadsheet: XXE, SSRF gambar eksternal, dan konsumsi sumber daya

Mencakup pengelakan scanner XML, baris berulang ODS, serta pengelakan tujuan yang diizinkan melalui redirect gambar. Cakupan terdampak berbeda menurut reader dan lini yang digunakan. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Cocokkan versi perbaikan untuk setiap advisori, seperti 5.10.0 / 3.10.8 / 2.4.8 / 2.1.19 / 1.30.7. Isolasi dokumen yang tidak tepercaya dan batasi komunikasi keluar.

Per advisori: versi terdampak dan versi perbaikan (4)

GHSA-2phh-27fw-q4gc

PhpSpreadsheet: SSRF whitelist bypass via unre-validated HTTP redirect in Drawing::setPath external image loading

phpoffice/phpspreadsheet (composer): Versi terdampak >= 4.0.0, <= 5.9.0 → Versi perbaikan 5.10.0
phpoffice/phpspreadsheet (composer): Versi terdampak >= 3.3.0, <= 3.10.7 → Versi perbaikan 3.10.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.2.0, <= 2.4.7 → Versi perbaikan 2.4.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.0.0, <= 2.1.18 → Versi perbaikan 2.1.19
phpoffice/phpspreadsheet (composer): Versi terdampak <= 1.30.6 → Versi perbaikan 1.30.7

GHSA-j2w7-387v-m2rq

PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)

phpoffice/phpspreadsheet (composer): Versi terdampak >= 4.0.0, <= 5.9.0 → Versi perbaikan 5.10.0
phpoffice/phpspreadsheet (composer): Versi terdampak >= 3.3.0, <= 3.10.7 → Versi perbaikan 3.10.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.2.0, <= 2.4.7 → Versi perbaikan 2.4.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.0.0, <= 2.1.18 → Versi perbaikan 2.1.19
phpoffice/phpspreadsheet (composer): Versi terdampak <= 1.30.6 → Versi perbaikan 1.30.7

GHSA-3x94-m842-937c

PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service

phpoffice/phpspreadsheet (composer): Versi terdampak >= 4.0.0, <= 5.9.0 → Versi perbaikan 5.10.0
phpoffice/phpspreadsheet (composer): Versi terdampak >= 3.3.0, <= 3.10.7 → Versi perbaikan 3.10.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.2.0, <= 2.4.7 → Versi perbaikan 2.4.8
phpoffice/phpspreadsheet (composer): Versi terdampak >= 2.0.0, <= 2.1.18 → Versi perbaikan 2.1.19
phpoffice/phpspreadsheet (composer): Versi terdampak <= 1.30.6 → Versi perbaikan 1.30.7

GHSA-rxj4-h86g-25gc

PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service

phpoffice/phpspreadsheet (composer): Versi terdampak >= 4.0.0, <= 5.9.0 → Versi perbaikan 5.10.0
phpoffice/phpspreadsheet (composer): Versi terdampak >= 3.3.0, <= 3.10.7 → Versi perbaikan 3.10.8

Materi primer dan sumber: GHSA-2phh-27fw-q4gc / GHSA-j2w7-387v-m2rq / GHSA-3x94-m842-937c / GHSA-rxj4-h86g-25gc

Publikasi GHSA: 2026-10-27T15:38:14Z hingga 2026-10-27T15:38:14Z

compress: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-fpmh-frq8-7rj8

compress zstd: Panic on two-block frames

github.com/klauspost/compress/zstd (go): Versi terdampak <= 1.20.1 → Versi perbaikan 1.20.2

Materi primer dan sumber: GHSA-fpmh-frq8-7rj8

Publikasi GHSA: 2026-10-27T15:37:37Z hingga 2026-10-27T15:37:37Z

dnspython: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-45c3-73f7-pv4m

dnspython dns.name.from_wire_parser() excessive CPU use

dnspython (pip): Versi terdampak < 2.9.0 → Versi perbaikan 2.9.0

Materi primer dan sumber: GHSA-45c3-73f7-pv4m

Publikasi GHSA: 2026-10-27T15:37:24Z hingga 2026-10-27T15:37:31Z

dd-trace-py: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-3633-r77q-h3v3

Datadog dd-trace-py: ReDoS in URL query string obfuscation

ddtrace (pip): Versi terdampak >= 1.5.0, < 3.19.9 → Versi perbaikan 3.19.9
ddtrace (pip): Versi terdampak >= 4.0.0, < 4.15.6 → Versi perbaikan 4.15.6

GHSA-p3m5-h5v9-vqj6

Datadog dd-trace-py: IAST instrumentation can lead to application DOS

ddtrace (pip): Versi terdampak >= 3.13.0, < 4.15.5 → Versi perbaikan 4.15.5

Materi primer dan sumber: GHSA-3633-r77q-h3v3 / GHSA-p3m5-h5v9-vqj6

Publikasi GHSA: 2026-10-27T15:36:35Z hingga 2026-10-27T15:36:35Z

mongo-python-driver: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-98qm-wvgf-w4cf

MongoDB Python Driver: Out-of-bounds read in BSON decoding via a malformed Regex element

pymongo (pip): Versi terdampak >= 3.9.0, <= 4.18.2 → Versi perbaikan 4.18.3

Materi primer dan sumber: GHSA-98qm-wvgf-w4cf

Publikasi GHSA: 2026-10-27T14:45:53Z hingga 2026-10-27T15:36:17Z

vLLM: penentuan model revision dan offloading P2P

Bedakan eksekusi melalui mm_processor_kwargs.code_revision dalam request dari kehabisan socket pada secondary tier P2P tertentu. Tidak semua konfigurasi memiliki kondisi yang sama. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Periksa kondisi fitur untuk setiap advisori. Masalah eksekusi diperbaiki pada 0.31.0, sedangkan masalah P2P diperbaiki pada 0.32.0. Batasi pengambilan model dan akses ke API.

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-h3rc-6mm3-gc2m

vLLM: Request-controlled mm_processor_kwargs.code_revision allows remote code execution

vllm (pip): Versi terdampak >= 0.7.3, < 0.31.0 → Versi perbaikan 0.31.0

GHSA-frvg-qw88-hww9

vllm p2p never connected zmq_exhaustion

vllm (pip): Versi terdampak < 0.32.0 → Versi perbaikan 0.32.0

Materi primer dan sumber: GHSA-h3rc-6mm3-gc2m / GHSA-frvg-qw88-hww9

Publikasi GHSA: 2026-10-27T15:34:28Z hingga 2026-10-27T15:34:33Z

harness-sdk: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-3w55-933p-8pv5

Strands Agents: Local Privilege Escalation via Symlink Attack in Default Session File Storage

strands-agents (pip): Versi terdampak < 1.48.0 → Versi perbaikan 1.48.0

GHSA-763v-5pjm-fx36

Strands Agents: Default FileSessionManager storage is world-readable on shared systems

strands-agents (pip): Versi terdampak < 1.48.0 → Versi perbaikan 1.48.0

Materi primer dan sumber: GHSA-3w55-933p-8pv5 / GHSA-763v-5pjm-fx36

Publikasi GHSA: 2026-10-27T15:33:22Z hingga 2026-10-27T15:33:42Z

snappy-java: periksa advisori yang dipublikasikan dan cakupan perbaikan

Dikonfirmasi ada 3 advisori dalam rentang publikasi GHSA kali ini. Lihat materi masing-masing pengembang untuk kondisi yang diperlukan, seperti fitur, input, dan hak akses yang terdampak. Waktu pendaftaran bukan tanggal rilis pertama atau waktu serangan aktual. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Per advisori: versi terdampak dan versi perbaikan (3)

GHSA-gwq9-9ffj-mvrv

snappy-java: Heap buffer overflow in Snappy.uncompress*Array typed-array methods

org.xerial.snappy:snappy-java (maven): Versi terdampak <= 1.1.10.8 → Versi perbaikan 1.1.10.9

GHSA-xqrx-qh46-34m7

snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite

org.xerial.snappy:snappy-java (maven): Versi terdampak <= 1.1.10.8 → Versi perbaikan 1.1.10.9

GHSA-q233-g92q-qxp6

snappy-java: Unbounded memory allocation from attacker-declared uncompressed lengtha

org.xerial.snappy:snappy-java (maven): Versi terdampak <= 1.1.10.8 → Versi perbaikan 1.1.10.9

Materi primer dan sumber: GHSA-gwq9-9ffj-mvrv / GHSA-xqrx-qh46-34m7 / GHSA-q233-g92q-qxp6

Publikasi GHSA: 2026-10-27T15:32:45Z hingga 2026-10-27T15:32:45Z

flexible-graphrag: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-vqrg-773h-4wxc

Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content

flexible-graphrag (pip): Versi terdampak >= 0.6.0, < 0.8.2 → Versi perbaikan 0.8.2

Materi primer dan sumber: GHSA-vqrg-773h-4wxc

Publikasi GHSA: 2026-10-27T15:04:14Z hingga 2026-10-27T15:32:36Z

LiteLLM: eskalasi hak akses, pembacaan file, dan XSS

3 advisori kali ini merupakan publikasi kerentanan produk. Perlakukan secara terpisah dari insiden penyusupan jalur distribusi. Masalah eskalasi dari internal_user ke proxy_admin juga bergantung pada pengaturan experimental di lini lama. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Untuk eskalasi hak akses, periksa lini perbaikan terkait, seperti 1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0rc2. Mitigasi sementara EXPERIMENTAL_UI_LOGIN=false juga menonaktifkan CLI SSO dan fungsi terkait.

Per advisori: versi terdampak dan versi perbaikan (3)

GHSA-g5ff-637f-6q2m

LiteLLM: internal_user_viewer arbitrary local file read via `vertex_ai_credentials`

litellm (pip): Versi terdampak < 1.95.0 → Versi perbaikan 1.95.0

GHSA-hhww-mrg2-969h

LiteLLM vulnerable to reflected XSS in /sso/debug/callback

litellm (pip): Versi terdampak >= 1.65.5, < 1.85.0 → Versi perbaikan 1.85.0

GHSA-7hp6-4w63-5g45

LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key

litellm (pip): Versi terdampak >= 1.91.0, < 1.100.4 → Versi perbaikan 1.100.4
litellm (pip): Versi terdampak >= 1.101.0, < 1.101.3 → Versi perbaikan 1.101.3
litellm (pip): Versi terdampak >= 1.102.0, < 1.102.2 → Versi perbaikan 1.102.2
litellm (pip): Versi terdampak >= 1.103.0, < 1.103.1 → Versi perbaikan 1.103.1
litellm (pip): Versi terdampak >= 1.104.0rc1, < 1.104.0rc2 → Versi perbaikan 1.104.0rc2

Materi primer dan sumber: GHSA-g5ff-637f-6q2m / GHSA-hhww-mrg2-969h / GHSA-7hp6-4w63-5g45

Publikasi GHSA: 2026-10-27T14:49:53Z hingga 2026-10-27T15:32:25Z

Better Auth: batas akun pada OAuth state dan proxy

Mencakup OAuth Proxy, penggunaan ulang state untuk MagicLink, rate limit DBadapter, serta kurangnya informasi pada tampilan persetujuan perangkat arbitrer. Masalah perangkat memerlukan kondisi seperti fitur opt-in dan persetujuan pengguna. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Periksa better-auth 1.7.7 dan adapter yang digunakan. Pada persetujuan perangkat, tampilkan klien peminta dan hak akses berdasarkan informasi yang telah divalidasi server.

Per advisori: versi terdampak dan versi perbaikan (4)

GHSA-44jh-23m7-hpcf

@better-auth/drizzle-adapter: Concurrent requests can exceed rate limits on PostgreSQL

@better-auth/drizzle-adapter (npm): Versi terdampak >= 1.6.17, < 1.7.7 → Versi perbaikan 1.7.7
@better-auth/kysely-adapter (npm): Versi terdampak >= 1.6.17, < 1.7.0 → Versi perbaikan 1.7.0
better-auth (npm): Versi terdampak >= 1.6.17, < 1.7.7 → Versi perbaikan 1.7.7

GHSA-r4xp-prcw-77qf

better-auth: OAuth Proxy lets an attacker sign in as another user

better-auth (npm): Versi terdampak >= 1.5.0-beta.12, < 1.7.7 → Versi perbaikan 1.7.7

GHSA-965c-763c-88jm

better-auth: OAuth state can be used as a Magic Link to sign in as another user

better-auth (npm): Versi terdampak >= 1.4.0-beta.18, < 1.7.7 → Versi perbaikan 1.7.7

GHSA-q84f-53jg-9ppm

better-auth: Device login approval does not show the requesting client or permissions

better-auth (npm): Versi terdampak >= 1.3.8-beta.3, < 1.7.0-rc.3 → Versi perbaikan 1.7.0-rc.3

Materi primer dan sumber: GHSA-44jh-23m7-hpcf / GHSA-r4xp-prcw-77qf / GHSA-965c-763c-88jm / GHSA-q84f-53jg-9ppm

Publikasi GHSA: 2026-10-27T15:26:24Z hingga 2026-10-27T15:28:03Z

GitPython: batas kepercayaan repository, refspec, dan submodule

6 advisori mencakup pembacaan file melalui nama branch, symlink submodule, opsi unsafe pada pull, dan paparan variabel lingkungan. Kondisi terjadinya berbeda, antara lain karena pembatasan transport Git yang biasa berlaku. Jumlah korban atau kasus kerugian aktual tidak dapat dipastikan hanya dari materi ini.

Hal yang perlu diperiksa: Perbarui ke 3.2.0. Jangan memproses repo yang tidak tepercaya dalam lingkungan CI yang memuat informasi rahasia. Jika diperlukan, isolasi pemrosesannya dan periksa log serta kredensial yang sudah terekspos.

Per advisori: versi terdampak dan versi perbaikan (6)

GHSA-23mf-xhv8-69c2

GitPython: arbitrary file read via attacker-controlled branch name in `Head.checkout()` (incomplete fix of CVE-2026-78679)

GitPython (pip): Versi terdampak <= 3.1.62 → Versi perbaikan 3.2.0

GHSA-gq48-pqfc-9p58

GitPython: Submodule.move() follows an attacker-committed intermediate symlink outside the worktree

GitPython (pip): Versi terdampak < 3.2.0 → Versi perbaikan 3.2.0

GHSA-f9j4-qggq-h239

GitPython Remote.pull() refspec bypasses the --upload-pack unsafe-option guard, enabling arbitrary command execution

GitPython (pip): Versi terdampak >= 3.1.30, < 3.2.0 → Versi perbaikan 3.2.0

GHSA-w8jc-g24h-crhw

GitPython command wrappers omit unsafe protocol and option checks

GitPython (pip): Versi terdampak <= 3.1.62 → Versi perbaikan 3.2.0

GHSA-fx3j-rwgx-fr94

GitPython: separate_git_dir leaks env vars via crafted .gitmodules submodule name

GitPython (pip): Versi terdampak <= 3.1.62 → Versi perbaikan 3.2.0

GHSA-m64x-33q8-m5h7

GitPython parse_actor_and_date() is vulnerable to quadratic backtracking on malformed identity lines

GitPython (pip): Versi terdampak <= 3.1.62 → Versi perbaikan 3.2.0

Materi primer dan sumber: GHSA-23mf-xhv8-69c2 / GHSA-gq48-pqfc-9p58 / GHSA-f9j4-qggq-h239 / GHSA-w8jc-g24h-crhw / GHSA-fx3j-rwgx-fr94 / GHSA-m64x-33q8-m5h7

Publikasi GHSA: 2026-10-27T15:04:33Z hingga 2026-10-27T15:04:39Z

nodemailer: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (3)

GHSA-4ffr-jq9g-5ffx

Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service

nodemailer (npm): Versi terdampak >= 3.0.0, <= 10.0.12 → Versi perbaikan 10.0.13

GHSA-g73g-hqqh-jr95

Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped

nodemailer (npm): Versi terdampak >= 3.0.0, <= 10.0.12 → Versi perbaikan 10.0.13

GHSA-4g23-2xm8-66gc

Nodemailer: Quadratic (O(n^2)) SMTP client reply parsing lets a malicious server or MITM cause a pre-auth remote denial of service

nodemailer (npm): Versi terdampak >= 3.0.0, <= 10.0.9 → Versi perbaikan 10.0.10

Materi primer dan sumber: GHSA-4ffr-jq9g-5ffx / GHSA-g73g-hqqh-jr95 / GHSA-4g23-2xm8-66gc

Publikasi GHSA: 2026-10-27T15:04:07Z hingga 2026-10-27T15:04:07Z

msgpack-python: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-j586-36cw-2gc2

MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure

msgpack (pip): Versi terdampak < 1.2.3 → Versi perbaikan 1.2.3

Materi primer dan sumber: GHSA-j586-36cw-2gc2

Publikasi GHSA: 2026-10-27T14:50:30Z hingga 2026-10-27T14:50:30Z

nltk: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-j456-xh4h-cpf2

NLTK: WekaClassifier passes an unvalidated caller-controlled model path to the weka JVM, bypassing nltk.pathsec containment

nltk (pip): Versi terdampak <= 3.10.3 → Versi perbaikan 3.10.4

Materi primer dan sumber: GHSA-j456-xh4h-cpf2

Publikasi GHSA: 2026-10-27T14:46:51Z hingga 2026-10-27T14:46:51Z

pylint: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-22qq-2fwx-7p67

Pylint: Arbitrary code execution via pickle deserialization of the stats cache in PYLINT_HOME

pylint (pip): Versi terdampak < 4.0.9 → Versi perbaikan 4.0.9

Materi primer dan sumber: GHSA-22qq-2fwx-7p67

Publikasi GHSA: 2026-10-27T14:46:43Z hingga 2026-10-27T14:46:43Z

Satori: kekurangan escaping pada SVG yang dihasilkan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-wx4j-mvgx-mqwp

Satori-generated SVG has improper escaping

satori (npm): Versi terdampak >= 0.0.27, < 0.33.5 → Versi perbaikan 0.33.5

Materi primer dan sumber: GHSA-wx4j-mvgx-mqwp

Publikasi GHSA: 2026-10-27T14:45:36Z hingga 2026-10-27T14:45:36Z

rembg: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-qr6x-7v33-6qmg

Rembg: Unauthenticated SAM model injection permits local-file disclosure through malicious ONNX graphs

rembg (pip): Versi terdampak < 2.0.82 → Versi perbaikan 2.0.82

Materi primer dan sumber: GHSA-qr6x-7v33-6qmg

Publikasi GHSA: 2026-10-27T14:45:29Z hingga 2026-10-27T14:45:29Z

twisted: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-jj36-9pvh-vj5r

Twisted: DNS Response Spoofing in twisted.names Due to Missing Source Address Validation

Twisted (pip): Versi terdampak <= 26.4.0 → Versi perbaikan 26.10.0rc1

Materi primer dan sumber: GHSA-jj36-9pvh-vj5r

Publikasi GHSA: 2026-10-27T14:44:19Z hingga 2026-10-27T14:44:19Z

Ghost: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-qrh6-cwg3-343x

Ghost: Authorization Bypass in Comment Like Feature

ghost (npm): Versi terdampak >= 5.9.0, < 6.44.1 → Versi perbaikan 6.44.1

Materi primer dan sumber: GHSA-qrh6-cwg3-343x

Publikasi GHSA: 2026-10-27T14:43:57Z hingga 2026-10-27T14:43:57Z

siyuan: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-c8r8-95hg-mp34

SiYuan: MCP file tool's blocklist is incomplete relative to the HTTP file API it claims to align with, exposing publish-mode passwords and other sensitive workspace files

github.com/siyuan-note/siyuan/kernel (go): Versi terdampak < 0.0.0-20260808051406-3542530c505f → Versi perbaikan 0.0.0-20260808051406-3542530c505f

Materi primer dan sumber: GHSA-c8r8-95hg-mp34

Publikasi GHSA: 2026-10-27T14:43:16Z hingga 2026-10-27T14:43:19Z

fpdf2: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (2)

GHSA-wqw6-wpr3-45rh

fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'

fpdf2 (pip): Versi terdampak >= 2.5.0, < 2.8.8 → Versi perbaikan 2.8.8

GHSA-rw7v-4hrq-x6r9

fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content

fpdf2 (pip): Versi terdampak <= 2.8.7 → Versi perbaikan 2.8.8

Materi primer dan sumber: GHSA-wqw6-wpr3-45rh / GHSA-rw7v-4hrq-x6r9

Publikasi GHSA: 2026-10-27T14:27:53Z hingga 2026-10-27T14:27:53Z

guava: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-xxph-c9ww-hj94

Google Guava: CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation

com.google.guava:guava (maven): Versi terdampak >= 4.0, <= 33.7.1 → Versi perbaikan 33.7.2

Materi primer dan sumber: GHSA-xxph-c9ww-hj94

Publikasi GHSA: 2026-10-27T13:30:41Z hingga 2026-10-27T13:30:41Z

agno: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-m4w4-3r8h-jw98

Agno: Arbitrary code execution via `eval()` on `field_type` in `FunctionCall`

agno (pip): Versi terdampak < 2.3.24 → Versi perbaikan 2.3.24

Materi primer dan sumber: GHSA-m4w4-3r8h-jw98

Publikasi GHSA: 2026-10-27T13:30:17Z hingga 2026-10-27T13:30:17Z

oauthlib: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-3jp2-3mrg-2vxc

OAuthLib: Bearer token can be retrieved as long as client knows a valid client ID for device workflow

oauthlib (pip): Versi terdampak >= 3.3.0, < 4.0.0 → Versi perbaikan 4.0.0

Materi primer dan sumber: GHSA-3jp2-3mrg-2vxc

Publikasi GHSA: 2026-10-27T13:30:10Z hingga 2026-10-27T13:30:10Z

MONAI: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-6hp3-vr39-rqw8

MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM (pydicom DS/IS Validation Bypass)

monai (pip): Versi terdampak < 1.6.1 → Versi perbaikan 1.6.1

Materi primer dan sumber: GHSA-6hp3-vr39-rqw8

Publikasi GHSA: 2026-10-27T13:29:57Z hingga 2026-10-27T13:29:57Z

dcmjs: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-px68-xx5g-48q5

dcmjs: DS/IS VALUE REPRESENTATION INPUT VALIDATION BYPASS

dcmjs (npm): Versi terdampak < 0.52.0 → Versi perbaikan 0.52.0

Materi primer dan sumber: GHSA-px68-xx5g-48q5

Publikasi GHSA: 2026-10-27T13:29:47Z hingga 2026-10-27T13:29:47Z

wails: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-47hv-j4px-h3c9

Wails: wildcardPatternToRegex allows Origin bypass via suffix match in BindingsAllowedOrigins

github.com/wailsapp/wails/v2 (go): Versi terdampak >= 2.0.0, < 2.13.0 → Versi perbaikan 2.13.0

Materi primer dan sumber: GHSA-47hv-j4px-h3c9

Publikasi GHSA: 2026-10-27T13:29:25Z hingga 2026-10-27T13:29:25Z

dolibarr: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-v5fq-cf5m-vwv7

Dolibarr has SQL Injection in societe/class/societe.class.php via localtax1_value parameter

dolibarr/dolibarr (composer): Versi terdampak <= 23.0.0 → Versi perbaikan Versi perbaikan tidak disebutkan

Materi primer dan sumber: GHSA-v5fq-cf5m-vwv7

Publikasi GHSA: 2026-10-27T13:27:58Z hingga 2026-10-27T13:27:58Z

ajenti: periksa advisori yang dipublikasikan dan cakupan perbaikan

Per advisori: versi terdampak dan versi perbaikan (1)

GHSA-vcw3-r3fx-j444

Ajenti has potential Remote Code Execution

aj (pip): Versi terdampak < 2.2.13 → Versi perbaikan 2.2.13

Materi primer dan sumber: GHSA-vcw3-r3fx-j444

Diperbarui 10/27 23:30 JST

ConnectWise: persiapan pemulihan bertahap selesai, masih menunggu validasi pihak ketiga

Pembaruan tanggal 27 pukul 14:30 UTC menjelaskan bahwa persiapan pemulihan bertahap telah selesai dan masih menunggu validasi wajib dari pihak ketiga. Ini bukan pernyataan bahwa akses pemulihan mulai tersedia atau pemulihan penuh telah tercapai. Pemulihan Axcient Legacy Portal pada tanggal 22 merupakan insiden penanganan PHP yang terpisah.

Hal yang perlu diperiksa: Pertahankan koneksi terkait dalam keadaan dinonaktifkan dan tunggu petunjuk pembukaan kembali secara individual. Jangan menggeneralisasi pernyataan bahwa tidak ada tanda penyusupan pada arsip backup terenkripsi menjadi kesimpulan bahwa setiap tenant Microsoft 365 bebas dari penyusupan.

Materi primer dan sumber: ConnectWise公式

Direvisi 10/27 23:45 JST

Fireblocks mpc-lib: perbaikan belum tersedia meskipun penilaian telah direvisi

CERT VU701544 direvisi pada tanggal 27 pukul 14:45 UTC. Descendant share dan chain code dapat memungkinkan akses ke ancestor/root share milik pihak MPC yang sama, tetapi ini tidak sama dengan memperoleh kunci transfer lengkap yang melampaui threshold. Pencurian aktual, nilai kerugian, dan jumlah pelanggan terdampak belum dipublikasikan.

Hal yang perlu diperiksa: Perlakukan versi perbaikan sebagai belum tersedia, lindungi chain code sebagai informasi rahasia, dan selidiki seluruh hierarki. Jangan menggunakan Agent 2.4.4 / SDK 2.19.1 dari insiden eMudhra yang terpisah sebagai versi perbaikan kerentanan ini.

Materi primer dan sumber: CERT VU701544

Pembaruan resmi 10/27

Fortinet FIPS: ketidaksesuaian antara versi penanganan 7.4 dan penulisan 7.2

Artikel teknis tanggal 27 menyatakan versi hardening FIPS tersedia. 7.4 adalah FIPS-CC-74-15 b9481. Untuk 7.2, b9883 dalam isi artikel tidak cocok dengan b9893 pada jalur unduhan. Perpanjangan dukungan 7.0 FIPS telah berakhir dan versi kali ini dinyatakan tidak direncanakan.

Hal yang perlu diperiksa: Cocokkan model dan build melalui ReadMe resmi serta unduhan dukungan. Jangan menerapkan pembaruan otomatis berdasarkan nomor 7.2 yang ambigu. Jangan menggunakan tabel hardening versi GA sebagai versi perbaikan minimum individual dari PSIRT yang belum berhasil diperoleh.

Materi primer dan sumber: Fortinet技術記事 / 公式hardening案内

Rentang publikasi GHSA kali ini / kategori malware

Paket berbahaya: periksa secara terpisah 27 advisori berkategori malware GHSA

Mencakup trajmetrics 0.5.3, numprint 1.2.0, @azure-growth/signup-ux-components 1.2.2/1.2.3, dan lainnya. Cakupan di bawah mengikuti penulisan dalam advisori GitHub. Jangan menganggap seluruh paket resmi dengan nama serupa telah disusupi. Jangan menghitung 27 advisori sebagai 27 organisasi korban baru.

Hal yang perlu diperiksa: Cocokkan lockfile, SBOM, dan cache unduhan; jangan menjalankan artifact mencurigakan untuk memeriksanya. Jika sudah diinstal atau dijalankan, isolasi dan bangun ulang lingkungan, lalu cabut kredensial yang sebelumnya dapat dijangkau. Tidak dicantumkannya versi perbaikan tidak berarti versi aman tersedia atau masalah dapat diselesaikan hanya dengan menaikkan versi.

Per advisori: versi terdampak dan versi perbaikan (27)

GHSA-rm9p-x4m7-hxmp

Malicious code in trajmetrics (PyPI)

trajmetrics (pip): Versi terdampak = 0.5.3 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-vc33-3x34-x6jm

Malware in glyphmatrix-fixture

glyphmatrix-fixture (npm): Versi terdampak = 1.0.0 → Versi perbaikan Versi perbaikan tidak disebutkan
glyphmatrix-fixture (npm): Versi terdampak = 1.0.1 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-ph3g-jrf5-8792

Malware in csec-form-validatorr

csec-form-validatorr (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-h5wr-j55v-8m79

Malware in ccsseecc-form-validator

ccsseecc-form-validator (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-v9xw-mxj4-fm5q

Malware in ccsseecc-crypto-toolkit

ccsseecc-crypto-toolkit (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-2732-c6cp-rx5v

Malware in ccsec-crypto-toolkit

ccsec-crypto-toolkit (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-r889-j2qv-2jv6

Malware in ccsec-form-validator

ccsec-form-validator (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-v383-2358-576w

Malware in csec-crypto-toolkit

csec-crypto-toolkit (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-wh86-6qm8-xgw2

Malware in csec-form-validator

csec-form-validator (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-7p7m-8jmq-qp93

Malware in agentenact

agentenact (npm): Versi terdampak = 0.2.0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-84fw-gj66-p5v3

Malware in dsh-vm-tester

dsh-vm-tester (npm): Versi terdampak = 0.1.4 → Versi perbaikan Versi perbaikan tidak disebutkan
dsh-vm-tester (npm): Versi terdampak = 0.1.2 → Versi perbaikan Versi perbaikan tidak disebutkan
dsh-vm-tester (npm): Versi terdampak = 0.1.3 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-g9fj-q87h-6h4c

Malicious code in numprint (PyPI)

numprint (pip): Versi terdampak = 1.2.0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-r9qx-xcg2-7wcc

Malware in 6161test1234

6161test1234 (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-r77r-rw3m-rjh5

Malware in adyen-web-v6

adyen-web-v6 (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-6crh-vwr2-4qfp

Malware in buttoncontent

buttoncontent (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-wmfr-2pvv-wmf3

Malware in @tableau__catalog-messages/database_lower

@tableau__catalog-messages/database_lower (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-wfcx-722r-fg5h

Malware in string-target-mapper-hash

string-target-mapper-hash (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-hc8w-gq4q-fr74

Malware in @flexmr/survey-conversation

@flexmr/survey-conversation (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-hpc9-fxqh-hhf8

Malware in @flexmr/utils

@flexmr/utils (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-w9mp-cvjp-jfqp

Malware in fetch-hash-cache-atomic

fetch-hash-cache-atomic (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-rh7q-f888-q36c

Malware in @flexmr/survey-client

@flexmr/survey-client (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-32g3-f74c-pcxq

Malware in macro-kernel-record-reader

macro-kernel-record-reader (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-9mgv-25w8-jwhf

Malware in paychex-pdftron

paychex-pdftron (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-fxw2-4j5q-6hwg

Malware in sc-announcer

sc-announcer (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-hh3m-f424-g8v5

Malware in ccl-global-shopping

ccl-global-shopping (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-9gcx-88qx-rxch

Malware in sc-hydrate-carousel-price

sc-hydrate-carousel-price (npm): Versi terdampak >= 0 → Versi perbaikan Versi perbaikan tidak disebutkan

GHSA-m8mp-r4jx-43fw

Malicious code in @azure-growth/signup-ux-components (npm)

@azure-growth/signup-ux-components (npm): Versi terdampak = 1.2.2 → Versi perbaikan Versi perbaikan tidak disebutkan
@azure-growth/signup-ux-components (npm): Versi terdampak = 1.2.3 → Versi perbaikan Versi perbaikan tidak disebutkan

Penjelasan tambahan tentang penanganan dan kondisi insiden yang sudah ada · 3

Perbaikan 10/25 / pemeriksaan lanjutan pemberitahuan Functions 10/26

Brotli: bedakan ketersediaan versi .NET yang diperbaiki dari penerapannya di lingkungan pengguna

.NET 8.0.33 / 9.0.22 / 10.0.14 / 11 RC3 merupakan perbaikan OOB yang sudah tersedia. .NET Framework tidak termasuk. Pemberitahuan resmi Azure Functions tanggal 26 bulan 10 menyatakan penerapan sedang berlangsung, bukan bahwa penerapannya sudah selesai di semua instans yang berjalan.

Hal yang perlu diperiksa: Untuk framework-dependent, perbarui runtime lalu mulai ulang; untuk self-contained, build dan publikasikan ulang; untuk container, build dan deploy ulang. Untuk Functions, cocokkan versi yang benar-benar berjalan.

Materi primer dan sumber: .NET OOB / Azure Functions

Buletin bertanggal 10/26 / pemeriksaan lanjutan tag 10/27

Tailscale: versi perbaikan minimum 1.104.4 untuk 4 advisori resmi

TS-2026-014 hingga 017 mencakup penerusan Unix socket SSH, DoS memori SSH, backend Unix Serve, serta tertukarnya capability HTTP/2. Buletin resmi menetapkan minimum 1.104.4. Sementara itu, masih ada perbedaan waktu pembaruan changelog. Jangan menyamakannya dengan perbaikan seluruh 11 butir Tailworm.

Hal yang perlu diperiksa: Pastikan klien yang benar-benar berjalan menggunakan 1.104.4 atau versi lebih baru, dan cocokkan kondisi penggunaan SSH/Serve. Jika penerusan SSH dihentikan sementara, gunakan TS_SSH_DISABLE_FORWARDING=1 dan mulai ulang daemon. Jangan memasukkan headscale atau experimental connector ke dalam cakupan perbaikan yang sama.

Materi primer dan sumber: 公式Security Bulletins / 公式v1.104.4 / 研究者報告の条件

Insiden 10/21 / tindak lanjut analisis 10/23

LiteLLM: cabut kunci dan bangun ulang lingkungan setelah penyusupan jalur distribusi

Insiden tanggal 21 bulan 10 mengonfirmasi distribusi aktual 1.107.0 berbahaya dan container. Laporan rantai serangan tanggal 23 menjelaskan alur dari master key yang belum dicabut menuju token publisher dan lainnya. Jangan menggunakan jumlah korban dari insiden terpisah pada bulan 3 untuk insiden ini.

Hal yang perlu diperiksa: Periksa jalur instalasi dan eksekusi pada rentang waktu terkait. Isolasi dan bangun ulang lingkungan sebelum sekadar menjalankan pembaruan pip, serta cabut dan ganti kunci yang sebelumnya dapat dijangkau. Versi perbaikan GHSA produk kali ini dan verifikasi keamanan setelah penyusupan merupakan hal terpisah.

Materi primer dan sumber: 公式10月21日incident / 公式攻撃連鎖分析

Informasi referensi yang waktu publikasi atau rinciannya belum dipastikan · 0

Waktu acuan adalah 2026-10-28 13:18:44 JST. Materi yang diperoleh merupakan revisi terkini setelah waktu acuan, dan tidak merekonstruksi seluruh versi sebelum waktu acuan.
Pemeriksaan mencakup publikasi dan revisi NVD, GHSA reviewed/unreviewed/malware, KEV, advisori resmi dalam dan luar negeri, serta perkembangan insiden terpilih. Ini bukan statistik yang mencakup seluruh insiden di dunia.
Publikasi dan revisi dapat saling tumpang tindih. Kerentanan, advisori, paket, organisasi, dan jumlah korban tidak dijumlahkan menjadi jumlah insiden. Reviewed merupakan kategori di GitHub, bukan konfirmasi eksploitasi aktual.
Data penelitian kali ini membahas pokok perkembangan dan advisori terpilih. Ini tidak berarti insiden lama yang belum terselesaikan telah hilang; lihat juga register terdahulu.
Pencantuman dalam KEV berarti eksploitasi kerentanan tersebut telah dikonfirmasi. Ini bukan konfirmasi penyusupan terhadap semua produk yang mengintegrasikannya. Nilai No pada kolom instruksi forensik tidak berarti penyelidikan penyusupan tidak diperlukan.
Kegagalan pengambilan dan respons challenge disimpan dalam metadata materi asli yang dikumpulkan. Informasi yang tidak berhasil diperoleh tidak dihitung sebagai 0 pembaruan.
Register bahasa Jepang terkini diperbarui. Terjemahan tersimpan merupakan arsip yang mencantumkan waktu acuan aslinya, dan tidak dianggap sebagai penyelesaian terjemahan informasi baru.
Pengambilan pertama revisi NVD mengalami timeout. Pengambilan ulang per 500 entri berhasil memperoleh seluruh 1,911 entri. Informasi kegagalan awal juga disimpan; 0 entri yang diperoleh tidak disamakan dengan 0 entri yang diperbarui.

Materi asli yang diperoleh dan metode penelitian