CVE-2016-1202
WysokieStreszczenie
W podatności CVE-2016-1202 w Atom Electron przed wersją 0.33.5 występuje luka w niezaufanej ścieżce wyszukiwania, która pozwala lokalnym użytkownikom na uzyskanie uprawnień za pomocą złośliwego modułu Node.js w katalogu nadrzędnym.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do systemów, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Atom Electron do wersji 0.33.5 lub nowszej, aby usunąć tę podatność.
Powiązane podatności
- CVE-2026-63011Krytyczne
W Group-Office endpoint JMAP Contact/labels przyjmuje kontrolowany przez atakującego parametr tpl przekazywany bez ograniczeń do TemplateParser::parse(). Gdy szablon zawiera blok [assign] z odwołaniem {{...}}, silnik wywołuje eval() na rozwiniętym wyrażeniu, a obejście walidacji pozwala wywołać dowolną funkcję PHP, np. system("id"). Pojedyncze uwierzytelnione żądanie HTTP wystarcza do wykonania dowolnych poleceń systemowych jako użytkownik serwera www.
- CVE-2026-61547Krytyczne
W bibliotece rabbitmq-c przed wersją 0.17.0 występuje przepełnienie bufora sterty, gdy publiczne API amqp_send_frame() serializuje zbyt duży AMQP_FRAME_BODY. Funkcja amqp_frame_to_bytes() kopiuje frame.payload.body_fragment.len bajtów do bufora wyjściowego połączenia bez sprawdzenia, czy fragment mieści się w zaalokowanym buforze ramki. Aplikacja przekazująca zbyt dużą ramkę ciała może wywołać zapis poza granicami sterty, powodując awarię procesu i uszkodzenie pamięci.
- CVE-2026-125757Krytyczne
W mailcow (wersja dockerized przed 2026-11) występuje podatność typu server-side template injection, która pozwala administratorom domen na wykonywanie poleceń w współdzielonym kontenerze rspamd poprzez zapisanie złośliwej stopki domenowej. Atakujący mogą osadzić makro Jinja z domyślną wartością os.execute, renderowane przez prefiltr MOO_FOOTER rspamd, aby czytać lub wstrzykiwać pocztę dla wszystkich dzierżawców i wyłączyć filtrowanie.
- CVE-2026-121683Krytyczne
Brak uwierzytelniania w Ivanti Cloud Services Application w wersji 5.0.8 pozwala zdalnemu nieuwierzytelnionemu atakującemu dodawać i usuwać dowolne zaufane wpisy certyfikatów EPM Core.
- CVE-2026-121653Krytyczne
W jądrze Ivanti Endpoint Manager przed wersją 2024 SU8 występuje podatność SQL injection, która pozwala zdalnemu nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu.
- CVE-2026-108186Krytyczne
Nieprawidłowa walidacja danych wejściowych w Zoom Workplace dla Windows może pozwolić nieuwierzytelnionemu użytkownikowi na eskalację uprawnień poprzez dostęp sieciowy.
- CVE-2026-124917Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy wynikającą z use-after-free w komponencie Widget: Gtk przeglądarki Firefox. Może pozwolić na obejście izolacji procesów. Podatność została naprawiona w wersjach Firefox 160 i Firefox ESR 153.7.
- CVE-2026-124903Krytyczne
W komponencie IPC występuje ucieczka z piaskownicy wynikająca z podatności use-after-free. Luka została naprawiona w wersjach Firefox 160, Firefox ESR 115.45 oraz Firefox ESR 153.7.
- CVE-2026-124900Krytyczne
W komponencie DOM: Service Workers przeglądarki Firefox występuje use-after-free umożliwiający ucieczkę z piaskownicy. Podatność została naprawiona w wersji Firefox 160.
- CVE-2026-124864Krytyczne
Podatność use-after-free w komponencie DOM: Service Workers przeglądarki Firefox umożliwiająca ucieczkę z piaskownicy. Może pozwolić na obejście mechanizmów izolacji przeglądarki. Naprawiono w Firefox 160, Firefox ESR 115.45 i Firefox ESR 153.7.
Oryginalny opis (angielski, źródło NVD)
Untrusted search path vulnerability in Atom Electron before 0.33.5 allows local users to gain privileges via a Trojan horse Node.js module in a parent directory of a directory named on a require line.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS