CVE-2016-2161
WysokieStreszczenie
W wersjach Apache HTTP Server od 2.4.0 do 2.4.23, złośliwe dane wejściowe do mod_auth_digest mogą spowodować awarię serwera, a każda instancja będzie kontynuować awarię nawet przy późniejszych, prawidłowych żądaniach.
Ocena ryzyka
Organizacja może doświadczyć przestojów w działaniu serwera, co prowadzi do utraty dostępności usług i potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację Apache HTTP Server do wersji nowszej niż 2.4.23, aby zniwelować ryzyko awarii związanych z mod_auth_digest.
Powiązane podatności
- CVE-2026-12227Krytyczne
Wtyczka Visual Composer Website Builder dla WordPressa do wersji 45.16.0 włącznie jest podatna na lokalne dołączanie plików przez parametr `vcv-template`. Niezalogowany atakujący może dołączać i wykonywać dowolne pliki na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
- CVE-2026-78312Krytyczne
Podatność Path Traversal w oprogramowaniu DIAEnergie przed wersją 1.11.00.022. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.
- CVE-2026-78308Krytyczne
Podatność niewłaściwego uwierzytelniania w DIAEnergie przed wersją 1.11.00.022 umożliwia obejście uwierzytelniania.
- CVE-2026-96891Krytyczne
W urządzeniu D-Link DIR-825 w wersji 3.00b32 wykryto podatność w funkcji tunnel_set_params w pliku tunnel.c komponentu rp-l2tp. Manipulacja argumentem peer_hostname prowadzi do zapisu poza granicami bufora. Atak można przeprowadzić zdalnie.
- CVE-2026-18467Krytyczne
Wtyczka Paytium: Mollie payment forms & donations dla WordPressa w wersjach do 5.0.3 włącznie jest podatna na eskalację uprawnień. Poprawka w wersji 5.0.3 dodała weryfikację podpisu dla pola pt-paytium-user-data, ale pozostawiła drugi filtr pt_cf_checkout_meta(), który kopiuje wartości z $_POST['pt_form_field'] bez weryfikacji podpisu, co pozwala nadpisać rolę użytkownika i utworzyć konto administratora.
- CVE-2026-93577Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność związaną z przepełnieniem liczb całkowitych podczas kompilacji specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2026-89078Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność typu double free podczas przetwarzania specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2026-93352Krytyczne
Laravel-Mediable w wersjach 7.0.0 do 7.0.2 zawiera niekompletną poprawkę dla CVE-2026-49972 — rozszerzenie .pht nie zostało dodane do listy zabronionych rozszerzeń w config/mediable.php. Apache na systemach Debian i Ubuntu wykonuje pliki .pht jako PHP, co pozwala atakującemu na przesłanie złośliwego pliku i zdalne wykonanie kodu.
- CVE-2026-6928Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 odwołuje się do zwolnionej pamięci lub uzyskuje do niej dostęp (use-after-free). Atakujący mogący wpłynąć na wykonanie programu lub dane wejściowe może wykorzystać tę lukę do uszkodzenia pamięci, awarii aplikacji lub wykonania dowolnego kodu.
- CVE-2026-6730Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 jest podatny na przepełnienie bufora spowodowane niewłaściwym sprawdzaniem granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod w systemie.
Oryginalny opis (angielski, źródło NVD)
In Apache HTTP Server versions 2.4.0 to 2.4.23, malicious input to mod_auth_digest can cause the server to crash, and each instance continues to crash even for subsequently valid requests.