CVE-2012-3174
WysokieStreszczenie
Nieokreślona podatność w Oracle Java 7 przed aktualizacją 11 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność systemu za pomocą nieznanych wektorów. Jest to inna podatność niż CVE-2013-0422.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, w tym utraty danych i nieautoryzowanego dostępu do systemów. Brak publicznych informacji na temat szczegółów tej podatności zwiększa ryzyko jej wykorzystania.
Rekomendacja
Zaleca się aktualizację Oracle Java do najnowszej wersji, aby zminimalizować ryzyko związane z tą podatnością. Monitorowanie systemów pod kątem nieautoryzowanych działań również jest wskazane.
Powiązane podatności
- CVE-2026-14349Krytyczne
Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa w wersjach do 1.2.3 włącznie jest podatna na obejście autoryzacji. Wynika to z braku weryfikacji, czy użytkownik jest uprawniony do wykonania danej akcji. Umożliwia to nieuwierzytelnionym atakującym zmianę adresu e-mail dowolnych kont, w tym administratorów, co może posłużyć do zresetowania hasła i przejęcia konta.
- CVE-2026-12793Krytyczne
Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie jest podatna na eskalację uprawnień. Wynika to z braku walidacji, czy przesłany identyfikator formularza należy do formularza JetFormBuilder, przed przetworzeniem treści wskazanego wpisu jako schematu formularza i wykonaniem serwerowego callbacku Advanced Validation. Umożliwia to nieuwierzytelnionym atakującym utworzenie nowego konta o uprawnieniach administratora.
- CVE-2026-15640Krytyczne
W pewnych warunkach prawidłowa odpowiedź SAML IdP może zostać wykorzystana do podszycia się pod innego użytkownika Secret Server. Podatność dotyczy mechanizmu uwierzytelniania SAML.
- CVE-2026-15639Krytyczne
Atakujący może spreparować złośliwy link, który — jeśli zostanie użyty przez legalnego użytkownika — może spowodować uruchomienie w przeglądarce użytkownika kodu JavaScript dostarczonego przez atakującego. Podatność dotyczy mechanizmu przetwarzania linków.
- CVE-2026-15638Krytyczne
Nieuwierzytelniony użytkownik z dostępem do Secret Server może wykorzystać padding oracle do odszyfrowania lub zaszyfrowania danych przy użyciu jednego z kluczy kryptograficznych serwera. Sam klucz nie jest ujawniany.
- CVE-2026-81855Krytyczne
W komponencie frameworka testowania robotów produktu Wärtsilä FOS-Onboard występuje podatność polegająca na użyciu zakodowanego na stałe klucza kryptograficznego do uwierzytelniania klienta. Klucz ten jest wbudowany w oprogramowanie i nie może być zmieniony przez administratora.
- CVE-2026-78225Krytyczne
W komponencie deployer-ng Update Controller produktu Wärtsilä FOS-Onboard występuje podatność polegająca na użyciu zakodowanego na stałe klucza kryptograficznego serwera. Klucz jest wbudowany w oprogramowanie i nie może być zmieniony przez administratora.
- CVE-2026-73807Krytyczne
Interfejs API komend mySCADA myPRO Manager nie wymusza prawidłowo uwierzytelniania dla funkcji uprzywilejowanych. Nieuwierzytelniony atakujący z dostępem sieciowym do tego API może uzyskać dostęp do uprzywilejowanych funkcji zarządzających.
- CVE-2026-73437Krytyczne
Na platformach z systemem Arista EOS skonfigurowanym jako przekaźnik DHCP nieuwierzytelniony atakujący z dostępem sieciowym może wysłać spreparowany pakiet odpowiedzi DHCP z adresu IP, który nie jest skonfigurowany jako adres pomocniczy. Agent przekaźnika przekazuje taki pakiet klientom bez weryfikacji źródła.
- CVE-2026-61560Krytyczne
Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.27 w trybie transportu SSE (SSE=true) udostępnia wszystkie narzędzia MCP bez uwierzytelniania. Narzędzie upload_markdown odczytuje dowolne pliki z lokalnego systemu plików serwera przez nieoczyszczony parametr file_path i wysyła je do projektu GitLab.
Oryginalny opis (angielski, źródło NVD)
Unspecified vulnerability in Oracle Java 7 before Update 11 allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors, a different vulnerability than CVE-2013-0422. NOTE: some parties have mapped CVE-2012-3174 to an issue involving recursive use of the Reflection API, but that issue is already covered as part of CVE-2013-0422. This identifier is for a different vulnerability whose details are not public as of 20130114.