Beiträge mit dem Stichwort: ‘ci-cd̵
GitLab Oj Spill RCE Exploit ist öffentlich
Die GitLab Oj Spill RCE ist jetzt öffentlich: Am 24. Juli wurden ein funktionierender Exploit-Chain und ein vollständiger technischer Bericht für eine Remote-Code-Execution-Lücke veröffentlicht, die GitLab bereits sechs Wochen zuvor, am 10. Juni, still gepatcht hatte. Läuft Ihre selbstgehostete GitLab-Instanz noch auf 18.10.7 oder älter, kann jeder Entwickler mit Commit-Rechten jetzt Befehle als Benutzer git…
WeiterlesenAsyncAPI npm Supply Chain Attack: Kein Token gestohlen
Der AsyncAPI npm supply chain attack zeigt, dass keine der beiden Kontrollen half, denen Teams eigentlich vertrauen sollten — kryptografische Provenance und das Blockieren von Install-Skripten: Ein Angreifer veröffentlichte vier trojanisierte Pakete mit gültigen SLSA-/OIDC-Provenance-Attestierungen, ohne jemals ein npm-Token zu stehlen, und die Payload läuft unabhängig von –ignore-scripts. Was ist passiert Am 14. Juli, zwischen…
WeiterlesenGitea Docker CVE-2026-20896 Auth-Bypass
Gitea Docker CVE-2026-20896 wird bereits aktiv ausgenutzt: Ein einzelner manipulierter HTTP-Header reicht, damit ein nicht authentifizierter Angreifer jeden Nutzer einer selbst gehosteten Gitea-Instanz imitieren kann — einschließlich eines Administrators — und sich damit Zugriff auf private Repositories und versehentlich eingecheckte Zugangsdaten verschafft. Was ist passiert Das offizielle Docker-Image von Gitea liefert standardmäßig REVERSE_PROXY_TRUSTED_PROXIES=* aus. Bei…
Weiterlesen