CISA adiciona falha de RCE explorada no Magento ao catálogo KEV
CISA adiciona falha de RCE crítica no Magento (CVE-2026-45247) ao catálogo KEV devido à exploração ativa em extensões de cache populares.
Tag
Tag: deserialização
4 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a deserialização.
Vulnerabilidade crítica no LangChain Core expõe segredos
Foi divulgada uma falha crítica no pacote langchain-core (Python) que pode permitir a extração de segredos e a manipulação de respostas de LLMs via injeção por serialização. O pacote é componente central do ecossistema LangChain. O trecho disponível não indica CVE, versões afetadas nem se há exploração ativa ou correção publicada.
.NET 'SOAPwn' permite gravação de arquivos e RCE via WSDL malicioso
Pesquisa da WatchTowr Labs revela primitives de exploração no .NET (apelidada SOAPwn) que, via WSDL malicioso, podem permitir gravação de arquivos e execução remota em aplicações como Barracuda Service Center RMM, Ivanti EPM e Umbraco 8. Fornecedores ainda não divulgaram correções públicas na cobertura.
LangGraph: deserialização insegura permite RCE (CVE-2025-64439)
Vulnerabilidade CVE-2025-64439 no JsonPlusSerializer do langgraph-checkpoint permite execução remota de código ao carregar checkpoints manipulados. A falha afeta versões < 3.0; LangChain lançou a versão 3.0 que implementa allow-list para construtores e desativa fallback inseguro para JSON. Aplicações que persistem dados não confiáveis em checkpoints devem atualizar e isolar processos de desserialização.