BolhaSec News #49 - 18/05/2025 a 24/05/2025

Nova vulnerabilidade alta no Grafana / Pacotes NPM maliciosos prometiam acesso mais barato ao Cursor AI /

Author

Bolha Sec
25 de maio de 2025

O que tem nessa edição?

Além do tradicional formato com ~4 resumos das notícias de segurança mais interessantes da semana, adicionei a seção Dump com menções a notícias que achei interessantezinha, mas não o suficiente para terem seus resumos na seção principal.

Essa edição ficou mais curta porque estou em viagem ✈️.

Nova vulnerabilidade alta no Grafana: Essa semana foi publicada a vulnerabilidada alta CVE-2025-4123 (CVSS 7.6), uma vulnerabilidade de cross-site scripting (XSS) no Grafana causada pela combinação de client path traversal e um open redirect. A vulnerabilidade permite que atacantes redirecionem usuários para sites maliciosos e SSRF. A empresa lançou um security patch para todas as versões afetadas. [grafana]

Pacotes NPM maliciosos prometiam acesso mais barato ao Cursor AI: Três pacotes NPM maliciosos, que somavam mais 3,200 downloads, estavam se passando por ferramentas para o editor de código Cursor AI, mas na verdade estavam instalando backdoors em computares macOS. Os pacotes se chamavam sw‑cur, sw‑cur1 e aiide-cur e afirmavam fornecer acesso mais barato ao Cursor 🤣. [securityweek]

Vulnerabilidade alta no Jira Core Data Center e Server: Vulnerabilidade alta CVE-2025-22157 (CVSS 7.2) de escalação de privilégios afetando várias versões do Jira Core Data Center e Server que permite que um atacante execute ações como um usuário com privilégios mais altos. O fix é atualizar para a última versão. [nist]

Dump

  • Marlboro-Chesterfield Pathology Data Breach Impacts 235,000 People [securityweek]

  • Hacking Hyundai Tucson 2020 [blog]

  • LockBit Ransomware Admin Panel Hacked, Leaks Reveal Inside Details [securityweek]

  • WordPress Security Research Series: Setting Up Your Research Lab [wordfence]

Para acompanhar as notícias em tempo real, temos grupo no Telegram e conta no BlueSky e no Threads, onde as nóticias são postadas todos os dias, assim que são lançadas. Links ⬇️