Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило в каталог известных эксплуатируемых уязвимостей KEV три новые записи после подтверждения атак с использованием ошибок в JoomShaper SP Page Builder, Langflow и Joomlack Page Builder. Как пишет SecurityLab (by Positive Technologies), в каталог KEV попадают только те уязвимости, эксплуатация которых уже зафиксирована вне тестовой среды.
Уязвимость CVE-2026-48908 в JoomShaper SP Page Builder получила оценку 9.8 по шкале CVSS 3.1. Она позволяет загружать файлы опасного типа без необходимых ограничений. CVE-2026-55255 в Langflow с оценкой 8.4 связана с обходом авторизации через ключ, которым управляет пользователь. Еще одна уязвимость, CVE-2026-56290 в Joomlack Page Builder, также получила оценку 9.8 и связана с неправильным контролем доступа.
CISA не раскрыла подробности атак и не сообщила, какие организации пострадали. При этом агентство предупредило, что подобные ошибки могут использоваться для проникновения в публично доступные системы и получения полного контроля над ресурсами. Федеральным ведомствам США предписано устранять уязвимости в рамках директивы BOD 26-04, а также проверять инфраструктуру на признаки компрометации до установки обновлений. Такой же подход CISA рекомендует и другим организациям.
Ключевые факты
CVE-2026-48908 в JoomShaper SP Page Builder получила оценку 9.8 по шкале CVSS 3.1
CVE-2026-55255 в Langflow связана с обходом авторизации через пользовательский ключ и получила оценку 8.4
CVE-2026-56290 в Joomlack Page Builder касается неправильного контроля доступа и получила оценку 9.8
Директива BOD 26-04 требует от федеральных ведомств США проверять системы на компрометацию до установки обновлений