Анонимный исследователь опубликовал в открытом доступе прототипы 23 эксплоитов для ещё не исправленных 0-day уязвимостей в проектах: FFmpeg, VLC, Firefox, Docker, PHP, OpenVPN, nmap, libssh2, nghttp2, 7zip, Ghidra, Gitea, c-ares, Floci, Flowise, ImageMagick, Lunar Client, MyBB, objdump и RustDesk. Уязвимости выявлены fuzzing-тестированием с AI-моделью GPT-5.5-3-Codex-Spark. Эксплоиты (кроме RustDesk) написаны вручную, документация сгенерирована AI.

Среди серьёзных уязвимостей: переполнение буфера в FFmpeg (формат RASC), две уязвимости в libssh2 (целочисленные переполнения при парсинге ключей, до аутентификации), RCE в Floci (обход IAM через REST API), use-after-free в c-ares (DNS-сервер), состояние гонки в Docker (запись вне целевого каталога при docker cp), переполнение буфера в VLC (VP9), Type Confusion в PHP (SOAP-сервер), RCE в OpenVPN Connect (вредоносный ovpn-профиль), HTTP Request Smuggling в nghttp2, утечка данных в Firefox (Smart Window), подмена файлов в 7zip (RAR), выход из контейнера в Gitea, MITM в RustDesk, RCE в objdump.

Информация не была сообщена разработчикам до публикации, CVE не назначены.

Linux / Линукс 🥸