CVE-2009-1599
WysokieStreszczenie
Opera wykonuje wywołania DOM w odpowiedzi na URI javascript: w atrybucie target elementu submit w formularzu zawartym w osadzonym pliku PDF. Może to pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń JavaScript Adobe Acrobat dotyczących dostępu do obiektu dokumentu.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które wykorzystują luki w zabezpieczeniach związane z osadzonymi plikami PDF, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników.
Rekomendacja
Zaleca się unikanie osadzania formularzy PDF w witrynach, które pozwalają na przesyłanie plików przez nieufnych użytkowników oraz monitorowanie i aktualizowanie zabezpieczeń związanych z obsługą plików PDF.
Powiązane podatności
- CVE-2026-90456Krytyczne
Przykładowy plik konfiguracyjny dołączonego komponentu do zarządzania zapasami zawiera stałe, publicznie znane hasło administracyjne. Wdrożenie, które skopiuje ten przykładowy plik do aktywnej konfiguracji bez uruchomienia procedury inicjalizacyjnej regenerującej poświadczenia, ujawni interfejs administracyjny komponentu każdemu znającemu domyślną wartość.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
- CVE-2026-79395Krytyczne
Weryfikacja WS-Security (wsse:UsernameToken) w demonie Sofia IPC w kamerach IP Xiongmai z firmware XM530 HMT.CM2005-v220608.1837 i starszym ma błąd uwierzytelniania. Zdalny atakujący może ominąć uwierzytelnianie i wykonać uprzywilejowane akcje ONVIF (m.in. sterowanie PTZ, pobranie URL strumienia, restart systemu) wysyłając spreparowane żądanie SOAP z nazwą admin i dowolnym hasłem, gdy zapisane hasło konta jest puste.
- CVE-2026-62105Krytyczne
Wtyczka ThemeREX Addons w wersjach starszych niż 2.45.0 jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).
- CVE-2026-62103Krytyczne
Wtyczka Everest Forms w wersjach 3.6.0 i starszych jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).
- CVE-2026-54072Krytyczne
W Authorizerze przed wersją 2.2.1 endpoint /authorize akceptuje dowolny redirect_uri bez walidacji względem AllowedOrigins. Przy response_type=token lub response_type=id_token serwer dołącza access_token, id_token i refresh_token jako parametry zapytania i wykonuje przekierowanie 302 na adres atakującego. Nieuwierzytelniony atakujący może uzyskać client_id z publicznego endpointu /graphql.
- CVE-2026-82617Krytyczne
Wbudowane wzorce wyszukiwania nazw EMAIL i URL w Apache OpenNLP zawierają niejednoznaczne zagnieżdżone kwantyfikatory, co umożliwia atak ReDoS. Przygotowany tekst wejściowy może wywołać superliniowe cofanie (backtracking) lub rekurencję matchera, prowadząc do wyczerpania CPU lub błędu StackOverflowError. Podatność dotyczy wersji od 2.0.0 do 2.5.11 oraz od 3.0.0-M1 do 3.0.0-M5.
- CVE-2026-72710Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność zdalnego wykonania kodu w akcji editer_objet, gdzie parametr arg rozwiązuje nazwy tabel SQL bez egzekwowania listy dozwolonych edytowalnych kolumn. Atakujący z ważnym nonce może wstrzyknąć kontrolowane wiersze do tabeli spip_jobs, a następnie dostarczyć arg=job/0 ze spreparowanymi wartościami fonction i args, które są deserializowane i wykonywane podczas opróżniania kolejki zadań cron.
- CVE-2026-72709Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność braku autoryzacji w punktach końcowych akcji administracyjnych w ecrire/action/, która pozwala nieuwierzytelnionym atakującym na wykonywanie uprzywilejowanych akcji poprzez dostarczenie ważnego nonce HMAC-SHA256 bez żadnej weryfikacji uprawnień po stronie serwera przez autoriser(). Atakujący może uzyskać ważny nonce, obliczyć go dla dowolnej akcji jako użytkownik anonimowy i wywołać akcję editer_auteur bezpośrednio przez HTTP, aby zresetować hasło dowolnego konta użytkownika, w tym administratora.
- CVE-2026-54047Krytyczne
Laci Synchroni to zdecentralizowany serwer synchronizacji modów i wyglądu oraz wtyczka dla Dalamud. Wersje backendu przed 1.2.3 mają podatność nieprawidłowego uwierzytelniania w przepływie logowania OAuth2, polegającą na zaufaniu polu UID w obiekcie Authentications w lokalnym pliku config.json użytkownika. Poprzez ręczną edycję tego pliku przed logowaniem użytkownik może podać dowolny UID, a ponieważ serwer nie weryfikuje, czy uwierzytelniona tożsamość OAuth2 odpowiada żądanemu UID, atakujący może podszyć się pod dowolnego użytkownika i wykonywać działania w jego imieniu.
Oryginalny opis (angielski, źródło NVD)
Opera executes DOM calls in response to a javascript: URI in the target attribute of a submit element within a form contained in an inline PDF file, which might allow remote attackers to bypass intended Adobe Acrobat JavaScript restrictions on accessing the document object, as demonstrated by a web site that permits PDF uploads by untrusted users, and therefore has a shared document.domain between the web site and this javascript: URI. NOTE: the researcher reports that Adobe's position is "a PDF file is active content."