搜尋通報

法國 Vates 11 月 10 日發布 Xen Orchestra 安全公告 VSA-2026-062，指出 REST API 會把 authenticationToken=j:%7B%7D 這種內容為空物件的 cookie 當成不篩選的查詢，直接以第一個未過期權杖的擁有者身分登入，並確認此漏洞已遭攻擊者實際利用 。

據 BleepingComputer 報導，研究人員 Sean Bales 於 11 月 8 日未事先通知廠商即公開 30 多個 N-able N-central 漏洞，並在 GitHub 釋出名為 Able2Shell 的概念驗證程式，其中最嚴重的攻擊鏈可經未驗證 XXE 漏洞在伺服器上執行指令並建立管理員帳號 。