التحليل الفني والأثر:
تم تثبيت ملف تكوين عن طريق الخطأ في المستودع العام LiteLLM-Labs/lite-harness بتاريخ 27 مايو 2026، يحتوي على master key لمنصة LiteLLM Agent Platform. استغل المهاجم هذا التسريب للحصول على مفاتيح GitHub Tokens، مما مكنه من اختراق سلسلة التوريد (Supply Chain) ودفع إصدار خبيث من حزمة Python شائعة الاستخدام. الثغرة تقع في سوء إدارة الأسرار (Secrets Management) داخل بيئات النشر.
التوصيات الدفاعية:
• الحماية: مراجعة فورية لجميع المفاتيح والأسرار في مستودعات GitHub العامة والخاصة وإلغاؤها (Rotate)
• الحماية: تطبيق سياسة تقييد الصلاحيات وفق مبدأ أقل امتياز (Least Privilege) على مفاتيح النشر
• الحماية: استخدام أدوات كشف التسريبات التلقائية (مثل GitLeaks أو TruffleHog) في الـ CI/CD pipeline
• الحماية: تمكين MFA وتفعيل تدقيق الوصول (Audit Logs) على جميع الحسابات المرتبطة بالنشر
📅 Date: 2026-10-24 | ⏰ Time: 11:44 UTC
🔗 Source: The Hacker News
التحليل الفني والأثر:
تم تثبيت ملف تكوين عن طريق الخطأ في المستودع العام LiteLLM-Labs/lite-harness بتاريخ 27 مايو 2026، يحتوي على master key لمنصة LiteLLM Agent Platform. استغل المهاجم هذا التسريب للحصول على مفاتيح GitHub Tokens، مما مكنه من اختراق سلسلة التوريد (Supply Chain) ودفع إصدار خبيث من حزمة Python شائعة الاستخدام. الثغرة تقع في سوء إدارة الأسرار (Secrets Management) داخل بيئات النشر.
التوصيات الدفاعية:
• الحماية: مراجعة فورية لجميع المفاتيح والأسرار في مستودعات GitHub العامة والخاصة وإلغاؤها (Rotate)
• الحماية: تطبيق سياسة تقييد الصلاحيات وفق مبدأ أقل امتياز (Least Privilege) على مفاتيح النشر
• الحماية: استخدام أدوات كشف التسريبات التلقائية (مثل GitLeaks أو TruffleHog) في الـ CI/CD pipeline
• الحماية: تمكين MFA وتفعيل تدقيق الوصول (Audit Logs) على جميع الحسابات المرتبطة بالنشر
📅 Date: 2026-10-24 | ⏰ Time: 11:44 UTC
🔗 Source: The Hacker News
عنوان الحدث: ثغرة فك ضغط Brotli تسبب RCE عبر الذاكرة
رقم الـ CVE والحالة: CVE-2026-111497
التحليل الفني والأثر:
ثغرة تصيب مكتبة Google Brotli Decoder، تسمح ببيانات مضغوطة مصممة خصيصاً بالكتابة خارج حدود المخزن المؤقت (Out-of-Bounds Write)، مما يؤدي لتلف الذاكرة وإمكانية تنفيذ تعليمات برمجية عن بُعد (RCE). الثغرة تؤثر على Node.js و Bun و حزم Python (brotli, brotlicffi) و Envoy Proxies.
التوصيات الدفاعية:
• الحماية: تحديث جميع المكتبات والمكونات التابعة (Node.js, Bun, Python brotli packages, Envoy) إلى أحدث الإصدارات المصححة. مراقبة الترقيات الأمنية الرسمية والاعتماد على نسخ معتمدة من مكتبة Brotli.
📅 Date: 2026-10-24 | ⏰ Time: 10:25 UTC
🔗 Source: The Hacker News