CVE-2026-39920
CriticalSummary
Wersje BridgeHead FileStore przed 24A (wydane na początku 2024 roku) udostępniają moduł administracyjny Apache Axis2 na punktach dostępnych w sieci z domyślnymi poświadczeniami, co pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych. Atakujący mogą zalogować się do konsoli administracyjnej, używając domyślnych poświadczeń, przesłać złośliwy archiwum Java jako usługę internetową i wykonywać dowolne polecenia na hoście za pomocą żądań SOAP do wdrożonej usługi.
Risk Assessment
Organizacje są narażone na poważne ryzyko, ponieważ atakujący mogą uzyskać pełną kontrolę nad systemem, co prowadzi do potencjalnych wycieków danych i zakłóceń w działaniu usług. Wykorzystanie tej podatności może skutkować poważnymi konsekwencjami finansowymi i reputacyjnymi.
Recommendation
Zaleca się aktualizację BridgeHead FileStore do wersji 24A lub nowszej, aby usunąć tę podatność. Dodatkowo, należy zmienić domyślne poświadczenia oraz ograniczyć dostęp do modułu administracyjnego tylko do zaufanych adresów IP.
Related vulnerabilities
- CVE-2026-17609Critical
The Super Forms plugin for WordPress up to version 6.3.316 contains an arbitrary directory deletion vulnerability. This is due to insufficient validation of attacker-controlled JSON fields and an ineffective ABSPATH guard that can be easily bypassed. An unauthenticated attacker can recursively delete arbitrary directories on the server, including the WordPress root directory, provided the administrator has enabled the 'Delete files from server after form submissions' setting.
- CVE-2026-107282Critical
Vulnerability in AsyncHttpClient (AHC) library before versions 3.0.13 and 2.16.1 allows cross-host request replay that updates the current request but leaves the target request and proxy context pointing to the original origin. This can send the original host's path, Host header, Authorization credentials, or plaintext request to the replay destination.
- CVE-2026-76268Critical
Vulnerability in Splunk Enterprise before versions 10.4.3 and 10.2.7 allows an unauthenticated user with network access to the Patroni REST API on a search head cluster member to execute attacker-controlled OS commands. The interface does not require authentication for critical configuration operations.
- CVE-2026-95606Critical
Deserialization of untrusted data vulnerability in The Events Calendar plugin allows object injection. Affects versions up to 6.17.4.
- CVE-2026-95605Critical
SQL injection vulnerability in WP Data Access allows blind SQL injection. Affects versions up to 5.5.82.
- CVE-2026-76501Critical
Vulnerability in SRv6 OAM (NGOAM) feature of Cisco NX-OS allows unauthenticated remote attacker to execute arbitrary code with root privileges or cause DoS. Due to improper input validation when NGOAM and SRv6 features are enabled.
- CVE-2026-76500Critical
A security review in Cisco APIC revealed multiple vulnerabilities related to improper control of a resource through its lifetime (CWE-664). These have been addressed in hardening releases.
- CVE-2026-76499Critical
A security review in Cisco APIC revealed multiple vulnerabilities related to improper neutralization issues (CWE-707). These have been addressed in hardening releases.
- CVE-2026-76498Critical
A security review in Cisco APIC revealed multiple vulnerabilities related to improper access control (CWE-284). These have been addressed in hardening releases.
- CVE-2026-76486Critical
Vulnerability in VXLAN OAM (NGOAM) feature of Cisco NX-OS allows unauthenticated remote attacker to execute arbitrary code with root privileges or cause DoS. Due to improper input validation when NGOAM is enabled.
Original NVD description (English source)
BridgeHead FileStore versions prior to 24A (released in early 2024) expose the Apache Axis2 administration module on network-accessible endpoints with default credentials that allows unauthenticated remote attackers to execute arbitrary OS commands. Attackers can authenticate to the admin console using default credentials, upload a malicious Java archive as a web service, and execute arbitrary commands on the host via SOAP requests to the deployed service.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS