CVE-2003-0502
WysokieStreszczenie
Apple QuickTime oraz Darwin Streaming Server przed wersją 4.1.3g umożliwiają zdalnym atakującym spowodowanie awarii (denial of service) poprzez wysłanie sekwencji .. (kropka kropka) zakończonej nazwą urządzenia MS-DOS (np. AUX) w żądaniu do portu HTTP 1220. Jest to inna podatność niż CVE-2003-0421.
Ocena ryzyka
Organizacje korzystające z tych wersji oprogramowania są narażone na ataki, które mogą prowadzić do przestojów w działaniu usług. Może to wpłynąć na dostępność aplikacji i zaufanie użytkowników.
Rekomendacja
Zaleca się aktualizację Apple QuickTime oraz Darwin Streaming Server do wersji 4.1.3g lub nowszej, aby zlikwidować tę podatność.
Powiązane podatności
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
- CVE-2026-84372Krytyczne
Predis, klient Redis i Valkey dla PHP, w wersjach od 3.0.0-RC1 do 3.3.0, nieprawidłowo przetwarza bufor RESP w połączeniach agregacyjnych, co pozwala atakującemu na wstrzyknięcie dodatkowych komend przez klucze lub wartości zawierające CRLF. Może to prowadzić do usunięcia danych w całym shardzie, modyfikacji danych, odczytu danych lub zakłócenia działania węzłów. Problem dotyczy tylko metody pipeline(), a transakcje nie są podatne. Luka została naprawiona w wersji 3.3.0.
- CVE-2026-75604Krytyczne
Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.
- CVE-2023-54391Krytyczne
Proxmox Virtual Environment (VE) w wersjach od 7.0 do 8.0 zawiera podatność na obejście uwierzytelniania w libpve-access-control przed 8.0.4, która pozwala nieuwierzytelnionym atakującym na zalogowanie się jako dowolny istniejący użytkownik bez skonfigurowanego drugiego czynnika, poprzez podanie dowolnej wartości tfa-challenge w API logowania. Atakujący może całkowicie pominąć weryfikację hasła, uzyskując nieautoryzowany dostęp, w tym do konta root@pam. Wszystkie dotknięte wersje są już nie wspierane.
- CVE-2026-73749Krytyczne
W demonie AOS-CX istnieje wiele podatności umożliwiających nieprawidłowe przetwarzanie źle sformułowanych danych wejściowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te luki, wysyłając specjalnie spreparowane pakiety do usługi. Skuteczna eksploitacja może prowadzić do zdalnego wykonania kodu z podwyższonymi uprawnieniami.
- CVE-2026-76658Krytyczne
W demonie SSH HPE Networking Fabric Composer wykryto podatność, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uzyskanie administracyjnego dostępu do podatnych hostów AFC. Skuteczna eksploitacja może umożliwić atakującemu wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym, prowadząc do całkowitej kompromitacji systemu.
- CVE-2026-76657Krytyczne
W API HPE Networking Fabric Composer wykryto podatności, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Skuteczna eksploitacja może umożliwić atakującemu uzyskanie uprawnień administracyjnych, prowadząc do całkowitej kompromitacji hosta Fabric Composer.
- CVE-2026-73701Krytyczne
W systemie operacyjnym HPE Networking Fabric Composer istnieje podatność na nieuwierzytelnione zdalne wykonanie kodu, która może być wykorzystana, jeśli spełnione zostaną pewne warunki wstępne poza kontrolą atakującego. Skuteczna eksploitacja może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu jako uprzywilejowany użytkownik, prowadząc do całkowitej kompromitacji hosta.
- CVE-2026-73700Krytyczne
W interfejsie zarządzania opartym na sieci HPE Networking Fabric Composer istnieje podatność na przechowywany atak XSS, która może pozwolić uwierzytelnionemu użytkownikowi o niskich uprawnieniach na przeprowadzenie ataku na administratora interfejsu. Skuteczna eksploitacja może pozwolić atakującemu na wykonanie dowolnego kodu skryptowego w przeglądarce ofiary w kontekście interfejsu.
Oryginalny opis (angielski, źródło NVD)
Apple QuickTime / Darwin Streaming Server before 4.1.3g allows remote attackers to cause a denial of service (crash) via a .. (dot dot) sequence followed by an MS-DOS device name (e.g. AUX) in a request to HTTP port 1220, a different vulnerability than CVE-2003-0421.