CVE-2002-1151
WysokieStreszczenie
Ochrona przed atakami typu cross-site scripting w przeglądarce Konqueror w wersjach KDE 2.2.2 oraz 3.0 do 3.0.3 nie inicjalizuje poprawnie domen w subramkach i sub-subramkach. To może umożliwić zdalnym atakującym wykonanie skryptów i kradzież ciasteczek z subramek znajdujących się w innych domenach.
Ocena ryzyka
Organizacja może być narażona na kradzież danych użytkowników, co prowadzi do utraty poufności informacji oraz potencjalnych ataków na konta użytkowników.
Rekomendacja
Zaleca się aktualizację przeglądarki Konqueror do najnowszej wersji, aby zapewnić odpowiednią ochronę przed atakami XSS oraz poprawne zarządzanie domenami w subramkach.
Powiązane podatności
- CVE-2026-4813Krytyczne
Podatność w module eksportu XSL w Lutece Core do wersji 7.1.7 umożliwia uwierzytelnionym administratorom zdalne wykonanie kodu. Konfiguracja przetwarzania XML/XSLT nie włącza trybu bezpiecznego (FEATURE_SECURE_PROCESSING), co pozwala na wykonywanie funkcji rozszerzeń Javy ze złośliwych stylów XSL. Atakujący z uprawnieniami administratora może przesłać zmodyfikowany plik transformacji XSL i wywołać jego wykonanie podczas operacji eksportu użytkowników, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2026-78319Krytyczne
Usługa działająca na dotkniętych produktach zawiera potencjalny problem wyścigu typu Time-of-Check Time-of-Use (TOCTOU). Nieuwierzytelniony zdalny atakujący może wykorzystać ten problem wyścigu, aby ominąć zamierzone mechanizmy bezpieczeństwa. Może to skutkować wykonaniem nieautoryzowanego kodu.
- CVE-2026-83772Krytyczne
Wykryto podatność w Cobham SATCOM VSAT7090 Maritime Satellite Router do wersji 20260704. Problem dotyczy funkcji c_set_reports_decode w pliku mail-report.sh w komponencie JSON Parsing. Manipulacja argumentem sender/recipients prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-75865Krytyczne
Wtyczka WPLP Cookie Consent dla WordPressa do wersji 4.4.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji saas_upload_logo() oraz obejścia autoryzacji w punktach końcowych REST WPLP. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-67394Krytyczne
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
- CVE-2026-83524Krytyczne
W urządzeniach RedPort Optimizer wXa-203, wXa-213 i wXa-223 do wersji 20260704 wykryto podatność na wstrzykiwanie poleceń w funkcji exec pliku /xgatev1/system/datetime.php komponentu System Clock. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-82971Krytyczne
W QVidium Opera11 w wersji 3.3.2a26-Ax4x-opera11 wykryto podatność na wstrzykiwanie poleceń w pliku /cgi-bin/net_tr.cgi komponentu CGI Script, poprzez manipulację argumentem ipaddr. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent zaprzestał działalności i nie wspiera już tych produktów.
- CVE-2026-82954Krytyczne
W Dokploy do wersji 0.29.7 wykryto podatność na przechodzenie po ścieżkach (path traversal) w funkcji writeTraefikConfigInPath pliku packages/server/src/utils/traefik/application.ts komponentu Settings, poprzez manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
- CVE-2026-81780Krytyczne
W Hash Form w wersjach do 1.4.2 wykryto podatność na nieuwierzytelnione przesyłanie dowolnych plików (Arbitrary File Upload). Podatność może pozwolić atakującemu na przesłanie złośliwych plików na serwer.
Oryginalny opis (angielski, źródło NVD)
The cross-site scripting protection for Konqueror in KDE 2.2.2 and 3.0 through 3.0.3 does not properly initialize the domains on sub-frames and sub-iframes, which can allow remote attackers to execute script and steal cookies from subframes that are in other domains.