Auteur: Systeem Beheerder

Autodesk heeft meerdere kwetsbaarheden verholpen in AutoCAD. De kwetsbaarheden bevinden zich in de wijze waarop AutoCAD speciaal vervaardigde DXF- en DWG-bestanden verwerkt. Een heap-based overflow kan leiden tot crashen van de applicatie, ongeautoriseerde toegang tot gevoelige data of uitvoering van willekeurige code binnen de context van de applicatie. Daarnaast zijn er out-of-bounds read kwetsbaarheden die eveneens kunnen resulteren in het crashen van de applicatie of het lekken van gevoelige informatie uit het geheugen. Exploitatie vereist dat een gebruiker een kwaadaardig bestand opent, waarna onbedoelde geheugentoegang plaatsvindt die de integriteit en vertrouwelijkheid van de gegevens kunnen aantasten.

GitLab heeft meerdere kwetsbaarheden verholpen in GitLab Enterprise Edition (EE) en Community Edition (CE) versies variërend van 12.0 tot en met 19.2.2. De kwetsbaarheden betreffen verschillende aspecten van GitLab, waaronder onjuiste privilege-toewijzing waarbij gebruikers met een pending lidmaatschapsstatus onbedoeld permissies konden erven van custom rollen.

Verder zijn er problemen met ontbrekende autorisatiecontroles op API-endpoints, waardoor gebruikers met ontwikkelaarsrollen toegang konden krijgen tot externe statuscheckconfiguraties en beperkte merge request informatie van private projecten.

Er is ook een Denial-of-Service mogelijk door onjuiste inputvalidatie, en cross-site scripting (XSS) kwetsbaarheden in de analytics dashboard component door onvoldoende sanitisatie van gebruikersinvoer.

Daarnaast konden gebruikers met lagere rechten bepaalde package registry metadata wijzigen en CI/CD pipelines op beschermde branches triggeren zonder de juiste permissies. Er waren ook autorisatieproblemen die het mogelijk maakten om project- en groepsinstellingen ongeautoriseerd te wijzigen, en een GraphQL query die toegang gaf tot beleidsconfiguraties van niet-toegestane namespaces.

Ten slotte was er een probleem met onjuiste autorisatie van identiteitinformatie, wat leidde tot verkeerde toewijzing van AI-gebruik aan andere namespaces.

Deze kwetsbaarheden kunnen leiden tot ongeautoriseerde toegang, wijziging van gegevens, privilege-escalatie, en verstoring van de beschikbaarheid binnen de GitLab Enterprise Edition omgeving.

Fortinet heeft een kwetsbaarheid verholpen in FortiClient voor Windows. De kwetsbaarheid betreft een klassieke buffer overflow in de verwerking van DNS response packets. Deze ontstaat door een buffer copy operatie zonder controle op de grootte van de input. Hierdoor kan een niet-geauthenticeerde aanvaller kwaadaardige DNS responses opstellen en versturen. Bij succesvolle exploitatie kan de aanvaller willekeurige code uitvoeren binnen de context van de FortiClient applicatie.

Cisco heeft een kwetsbaarheid verholpen in Cisco Secure Firewall ASA en FTD software. De kwetsbaarheid bevindt zich in de heap inspection binnen de Remote Access SSL VPN-service. Deze ontstaat door onvoldoende foutcontrole tijdens de verwerking van HTTP-verzoeken. Een niet-geauthenticeerde externe aanvaller kan speciaal opgemaakte HTTP-verzoeken versturen om de getroffen apparaten onverwacht te laten herstarten, wat leidt tot een Denial-of-Service. De kwetsbaarheid treft netwerkbeveiligingsapparaten die gebruikt worden voor veilige externe toegang.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion versies 2025.0.11, 2023.0.22 en eerdere versies. De kwetsbaarheden in Adobe ColdFusion kunnen door ongeauthenticeerde kwaadwillenden worden misbruikt om willekeurige code uit te voeren op afstand, beveiligingsmaatregelen te omzeilen, rechten te verhogen op het systeem of middels DoS de werking van de applicatie te verstoren.

Zoom heeft kwetsbaarheden verholpen in Zoom Clients en Zoom VDI Client software. De Zoom Clients bevatten meerdere kwetsbaarheden in de annotator functie. Eén betreft een ontbrekende bounds check die kan leiden tot een buffer overwrite, waardoor een externe deelnemer via netwerktoegang mogelijk willekeurige code kan uitvoeren op het apparaat van een andere deelnemer. Een andere kwetsbaarheid in dezelfde functie betreft een buffer over-read, die een denial-of-service kan veroorzaken door crashes of onderbrekingen van de dienst tijdens vergaderingen. Daarnaast is er een use-after-free kwetsbaarheid in de annotator functie die eveneens door een externe deelnemer via netwerktoegang kan worden misbruikt om willekeurige code uit te voeren op het apparaat van een andere deelnemer. Verder bevatten de Zoom VDI Client en de bijbehorende plugins een path traversal kwetsbaarheid die door een geauthenticeerde gebruiker met lokale toegang kan worden misbruikt. Deze kwetsbaarheid ontstaat door onjuiste validatie van bestandsroutes, waardoor toegang tot bestanden buiten de bedoelde directorystructuur mogelijk is, wat kan leiden tot ongeautoriseerde toegang tot gegevens.

Apple heeft een kwetsbaarheid verholpen in de Screen Sharing feature van macOS versies Sequoia 15.7.9, Sonoma 14.8.9 en Tahoe 26.6.1. De kwetsbaarheid betreft een authenticatieprobleem in de Screen Sharing functionaliteit waarbij netwerkaanvallers toegang kunnen verkrijgen zonder geldige inloggegevens. Dit wordt mogelijk gemaakt door onvoldoende state management tijdens het authenticatieproces. Hierdoor kunnen onbevoegden authenticatiepogingen uitvoeren die normaal niet geaccepteerd zouden worden.

Update: Het NCSC heeft een melding ontvangen waaruit blijkt dat er actief misbruik van deze kwetbaarheid is waargenomen op meerdere systemen waarop poort 5900 vanaf het internet bereikbaar was. In al deze gevallen was root toegang verkregen op het getroffen systeem en een Monero crypto miner geplaatst.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe Commerce. De kwetsbaarheden betreffen voornamelijk incorrecte autorisatie, waardoor een aanvaller met verschillende privilege-niveaus beveiligingscontroles kan omzeilen. Dit stelt de aanvaller in staat om zonder gebruikersinteractie ongeautoriseerde lees- en schrijfrechten te verkrijgen, toegang te krijgen tot gevoelige data, en privileges te escaleren binnen het systeem. Daarnaast is er een stored Cross-Site Scripting (XSS) kwetsbaarheid die het mogelijk maakt voor laaggeprivilegieerde aanvallers om kwaadaardige JavaScript-code in formulier velden te injecteren. Deze code wordt uitgevoerd in de browsers van slachtoffers, wat kan leiden tot ongeautoriseerde acties zoals sessiekaping en toegang tot gebruikersaccounts. De exploitatie van deze kwetsbaarheden kan leiden tot wijzigingen in de integriteit van het platform, ongeautoriseerde toegang tot bronnen en mogelijke verstoring van de beschikbaarheid.

Microsoft heeft een kwetsbaarheid verholpen in Power BI server. Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige code uit te voeren op de server.

Voor succesvol misbruik moet de kwaadwillende beschikken over voorafgaande authenticatie.

Microsoft heeft kwetsbaarheden verholpen in Dynamics, zowel online als on-premise. De kwetsbaarheden stellen een kwaadwillende in staat om zich verhoogde rechten toe te kennen, willekeurige code uit te voeren en/of toegang te krijgen tot gevoelige gegevens.

De ernstigste kwetsbaarheid heeft kenmerk **CVE-2026-59118** toegewezen gekregen en bevindt zich in Power Apps. Deze kwetsbaarheid is echter reeds door Microsoft zelf centraal verholpen en slechts opgenomen ter informatie. Voor deze kwetsbaarheid is geen actie (meer) vereist.