Adobe heeft meerdere kwetsbaarheden verholpen in Adobe Illustrator (versies 29.8.6, 30.3 en eerder). De kwetsbaarheden bevinden zich in de wijze waarop Adobe Illustrator speciaal vervaardigde bestanden verwerkt. Er is sprake van een out-of-bounds write, een NULL pointer dereference, een out-of-bounds read en een heap-based buffer overflow. Door deze fouten in de bounds checking tijdens het parsen van bestanden kan een aanvaller het programma laten crashen (denial-of-service), gevoelige geheugeninhoud uitlezen, of code uitvoeren binnen de context van de applicatie. De kwetsbaarheden zijn aanwezig in meerdere versies van Adobe Illustrator en worden misbruikt door het openen van kwaadaardig opgemaakte bestanden.
Cisco heeft een kwetsbaarheid verholpen in Cisco Crosswork Network Controller. De kwetsbaarheid betreft een denial-of-service in Cisco Crosswork Network Controller die kan worden misbruikt door niet-geauthenticeerde externe aanvallers. De aanval bestaat uit het overweldigen van het systeem met een groot aantal verbindingverzoeken, waardoor de diensten onresponsief worden. Herstel van deze toestand vereist een handmatige herstart van het getroffen apparaat.
Microsoft heeft een groot aantal kwetsbaarheden verholpen in de Edge browser (Chromium). De kwetsbaarheden bevinden zich in de code base van Chrome en zijn eerder door Google bekend gesteld. Microsoft verwerkt deze kwetsbaarheden in de Edge browser en verspreidt de updates automatisch. Door de grote hoeveelheid verholpen kwetsbaarheden in deze update verdient het extra aandacht om te controleren dat de Edge browser wordt bijgewerkt naar de laatste versie.
Siemens heeft kwetsbaarheden verholpen in verschillende (OT-)producten. Het gaat onder andere om producten in de Siemens RUGGEDCOM-, SCALANCE-, SIMATIC-, SIMIT-, SINAMICS-, SIPROTEC-, SENTRON- en Solid Edge-productreeksen. De kwetsbaarheden stellen een kwaadwillende mogelijk in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:
- Denial-of-Service (DoS)
- Manipulatie van gegevens
- (Remote) code execution
- Toegang tot gevoelige gegevens
- Verhogen van rechten
Voor succesvol misbruik van de genoemde kwetsbaarheden moet de kwaadwillende (netwerk)toegang hebben tot het kwetsbare product. Het is goed gebruik een dergelijke producten niet publiek toegankelijk te hebben.
Microsoft heeft een kwetsbaarheid verholpen in SQL Server. Een geauthenticeerde kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige code uit te voeren onder het account van de SQL server zelf.
Microsoft heeft kwetsbaarheden verholpen in diverse componenten van Dynamics. Een geauthenticeerde kwaadwillende kan de kwetsbaarheden misbruiken om zich verhoogde rechten toe te kennen, willekeurige code uit te voeren en/of toegang te krijgen tot gevoelige gegevens.
De kwetsbaarheid met kenmerk CVE-2026-33821 is reeds centraal verholpen door Microsoft en slechts toegevoegd ter informatie. Er zijn geen acties benodigd voor deze kwetsbaarheid.
```
Dynamics Business Central:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-40417 | 7.80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Microsoft Dynamics 365 (on-premises):
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-42898 | 9.90 | Uitvoeren van willekeurige code |
| CVE-2026-42833 | 9.10 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
Power Automate:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-40374 | 6.50 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
Microsoft Dynamics 365 Customer Insights:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-33821 | 7.70 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
SAP heeft kwetsbaarheden verholpen in SAP S/4HANA, SAP Commerce Cloud, SAP Forecasting & Replenishment, SAP NetWeaver Application Server voor ABAP, SAP Business Server Pages, SAP BusinessObjects Business Intelligence Platform, SAP Strategic Enterprise Management Scorecard Wizard, SAPUI5 Search UI, SAP Financial Consolidation, SAP Incentive and Commission Management, SAP Application Server ABAP voor SAP NetWeaver en ABAP Platform, en SAP HANA Deployment Infrastructure. De kwetsbaarheden betreffen verschillende typen beveiligingsproblemen binnen de genoemde SAP-producten.
- In SAP S/4HANA's Enterprise Search for ABAP module kunnen geauthenticeerde aanvallers SQL-injecties uitvoeren, wat kan leiden tot ongeautoriseerde toegang tot gevoelige data en applicatiecrashes.
- SAP Commerce Cloud bevat een configuratiefout in Spring Security waardoor ongeauthenticeerde gebruikers kwaadaardige configuraties kunnen uploaden en daarmee willekeurige server-side code kunnen uitvoeren.
- In SAP Forecasting & Replenishment en SAP NetWeaver Application Server voor ABAP kunnen geauthenticeerde gebruikers met administratieve rechten OS-commando's uitvoeren, wat kan resulteren in systeemcompromittering of verstoring van de applicatie.
- SAP S/4HANA Condition Maintenance heeft een ontbrekende autorisatiecontrole waardoor geauthenticeerde gebruikers records kunnen bekijken en wijzigen zonder de juiste permissies.
- SAP Business Server Pages Application component TAF_APPLAUNCHER en SAP NetWeaver Application Server ABAP bevatten Cross-Site Scripting (XSS) kwetsbaarheden die het mogelijk maken om gebruikers te misleiden via kwaadaardige links.
- SAP BusinessObjects Business Intelligence Platform heeft een Cross Site Request Forgery (CSRF) kwetsbaarheid die geauthenticeerde gebruikers kan misleiden tot het uitvoeren van ongewenste acties.
- SAP Strategic Enterprise Management Scorecard Wizard kent een autorisatiefout waardoor geauthenticeerde gebruikers toegang krijgen tot niet-toegestane informatie en instellingen kunnen wijzigen.
- SAPUI5 Search UI is kwetsbaar voor URL-parameter manipulatie die kan leiden tot het injecteren van kwaadaardige content en gebruikers kan omleiden naar aanvallersites.
- SAP Financial Consolidation bevat een kwetsbaarheid waarmee geauthenticeerde gebruikers sessies van andere gebruikers kunnen beëindigen, wat de beschikbaarheid beïnvloedt.
- SAP Incentive and Commission Management heeft onvoldoende autorisatiecontrole waardoor geauthenticeerde gebruikers database tabellen kunnen aanpassen.
- SAP Application Server ABAP voor SAP NetWeaver en ABAP Platform bevat een code-injectie kwetsbaarheid die geauthenticeerde gebruikers kunnen misbruiken om willekeurige code uit te voeren.
- SAP HANA Deployment Infrastructure bevat een SQL-injectie kwetsbaarheid in de @sap/hdi-deploy package, waarbij gebruikers met hoge privileges dynamische SQL-query's kunnen manipuleren, wat de vertrouwelijkheid en beschikbaarheid kan beïnvloeden.
Daarnaast is er een gerelateerde kwetsbaarheid in Apache Log4j Core (versies 2.0-beta9 tot 2.25.2) met ontbrekende TLS hostname verificatie, die man-in-the-middle aanvallen mogelijk maakt en ook diverse SAP-producten en andere software beïnvloedt.
Apple heeft meerdere kwetsbaarheden verholpen in diverse versies van macOS (inclusief Sequoia, Sonoma en Tahoe versies). De kwetsbaarheden betreffen onder andere fouten in geheugenbeheer zoals buffer overflows, use-after-free, out-of-bounds read en write, en integer overflow, die kunnen leiden tot onverwachte applicatie- of systeemcrashes, denial-of-service, of ongeautoriseerde toegang tot kernel- of gebruikersgegevens. Verder zijn er problemen opgelost met betrekking tot sandbox escape, privilege escalatie naar root, bypass van Content Security Policy, onjuiste permissie- en toegangscontrole, race conditions, logging die gevoelige informatie lekt, en bypass van Gatekeeper beveiligingsmechanismen. Sommige kwetsbaarheden kunnen worden misbruikt via speciaal vervaardigde bestanden, webcontent, of netwerkverkeer. De fixes omvatten verbeterde validatie van invoer, strengere toegangscontrole, verbeterde geheugen- en statusbeheer, en versterkte sandboxing en logging mechanismen.
Apple heeft meerdere kwetsbaarheden verholpen in diverse versies van iOS en iPadOS De kwetsbaarheden betreffen onder andere onjuiste geheugenbeheermechanismen zoals use-after-free, buffer overflows, out-of-bounds reads en writes, race conditions, type confusion, null pointer dereferences, en onvoldoende inputvalidatie. Deze kunnen leiden tot onverwachte applicatie- of systeemcrashes, denial-of-service, ongeautoriseerde toegang tot gevoelige gebruikers- of kerneldata, privilege-escalatie, en het omzeilen van beveiligingsmechanismen zoals Content Security Policy en sandboxing. Sommige kwetsbaarheden maken het mogelijk dat een aanvaller code met kernel-privileges uitvoert of systeemstabiliteit verstoort. De problemen kunnen worden geactiveerd door het verwerken van speciaal vervaardigde bestanden, webcontent, of netwerkverkeer. De fixes omvatten verbeterde validatie, strengere toegangscontroles, en verbeterde geheugen- en state managementmechanismen.
BerriAI heeft kwetsbaarheden verholpen in LiteLLM, specifiek in versies 1.74.2 tot en met 1.83.6. LiteLLM is een veelgebruikte proxy om op gecentraliseerde wijze API's naar een groot aantal LLM systemen te beheren.
De eerste kwetsbaarheid betreft een SQL-injectie in het proxy API key verificatiemechanisme, waardoor niet-geauthenticeerde aanvallers SQL-injectieaanvallen kunnen uitvoeren om proxy databasegegevens te lezen en te wijzigen. Dit kan leiden tot het compromitteren van credentials en verdere ongeautoriseerde toegang tot het systeem. De tweede kwetsbaarheid betreft twee preview endpoints in de MCP server feature die volledige serverconfiguraties accepteren. Elke geauthenticeerde gebruiker met een geldige proxy API key kan hiermee willekeurige commando's uitvoeren op de proxy host, zonder dat hiervoor administratieve rechten vereist zijn. Deze kwetsbaarheid maakt ongeautoriseerde command execution mogelijk.
