CVE-2016-0847
WysokieStreszczenie
Komponent Telekomunikacyjny w systemie Android w wersjach 5.0.x przed 5.0.2, 5.1.x przed 5.1.1 oraz 6.x przed 1 kwietnia 2016 roku umożliwia atakującym fałszowanie numeru telefonu pochodzącego z połączenia za pomocą specjalnie przygotowanej aplikacji.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do oszustw telefonicznych, co może prowadzić do poważnych konsekwencji dla użytkowników i organizacji.
Rekomendacja
Zaleca się aktualizację systemu Android do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-93740Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75885Krytyczne
W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).
- CVE-2026-93738Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formSchedule w pliku /boafrm/formSchedule. Manipulacja argumentem webpage prowadzi do przepełnienia bufora. Atak jest możliwy zdalnie, a exploit został upubliczniony.
- CVE-2026-93839Krytyczne
LightLLM w wersji do 1.2.0 zawiera lukę obejścia uwierzytelniania w punkcie końcowym WebSocket /pd_register, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne węzły poprzez dostarczenie spreparowanego JSON bez walidacji adresu peera. Atakujący mogą ujawnić pełne prompty użytkowników kierowane do ich gniazda, wywołać odmowę usługi poprzez zastąpienie legalnych węzłów lub zmusić PD Master do wysyłania żądań do wewnętrznych adresów sieciowych.
- CVE-2026-84082Krytyczne
IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.
- CVE-2026-84078Krytyczne
IBM Guardium Data Protection 12.2 jest podatny na lukę braku uwierzytelniania w LoadBalancerServlet. Nieuwierzytelniony użytkownik może uzyskać dostęp do uprzywilejowanych operacji load balancera, co może skutkować nieautoryzowanymi działaniami i wpłynąć na integralność oraz dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
The Telecom Component in Android 5.0.x before 5.0.2, 5.1.x before 5.1.1, and 6.x before 2016-04-01 allows attackers to spoof the originating telephone number of a call via a crafted application, as demonstrated by obtaining Signature or SignatureOrSystem access, aka internal bug 26864502.