CVE-2017-11890
WysokieStreszczenie
Podatność w systemach Microsoft Windows 7 SP1, Windows Server 2008 i R2 SP1, Windows 8.1, Windows RT 8.1, Windows Server 2012 i R2, Windows 10 oraz Windows Server 2016 pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Problem wynika z nieprawidłowego zarządzania obiektami w pamięci przez Internet Explorer.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa danych i integralności systemu.
Rekomendacja
Zaleca się aktualizację systemów operacyjnych do najnowszych wersji oraz zastosowanie dostępnych poprawek bezpieczeństwa, aby zminimalizować ryzyko wykorzystania tej podatności.
Powiązane podatności
- CVE-2026-94053Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania przez wstrzyknięcie LDAP w komponencie sshd-ldap biblioteki Apache MINA SSHD. Brak odpowiedniego escapowania znaków specjalnych filtrów LDAP pozwala na uwierzytelnienie z nazwą użytkownika "*" i hasłem "*".
- CVE-2026-94052Krytyczne
Brak sprawdzenia w LdapPasswordAuthenticator w komponencie sshd-ldap biblioteki Apache MINA SSHD umożliwia ominięcie kontroli uwierzytelniania. Podatność dotyczy tylko serwerów używających LdapPasswordAuthenticator do uwierzytelniania hasłem.
- CVE-2026-77185Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania w sshd-core biblioteki Apache MINA SSHD. Błąd w implementacji mechanizmu "asynchronicznego uwierzytelniania" może prowadzić do pominięcia sprawdzenia podpisu w uwierzytelnianiu kluczem publicznym lub hostbased, lub zwrócenia błędnego wyniku.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-102508Krytyczne
Sterownik OPC UA w Apache PLC4X (PLC4J) nieprawidłowo weryfikuje podpisy kryptograficzne i certyfikaty serwera. Atakujący znajdujący się w sieci między klientem a serwerem może podszyć się pod serwer OPC UA i czytać, fałszować lub modyfikować ruch w bezpiecznym kanale, w tym przechwycić dane uwierzytelniające użytkownika. Problem występuje w wersjach od 0.9.0 do 0.13.1 i został naprawiony w wersji 1.0.0.
- CVE-2026-97196Krytyczne
Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
Oryginalny opis (angielski, źródło NVD)
Microsoft Windows 7 SP1, Windows Server 2008 and R2 SP1, Windows 8.1 and Windows RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, 1709, and Windows Server 2016 allow an attacker to execute arbitrary code in the context of the current user, due to how Internet Explorer handles objects in memory, aka "Scripting Engine Memory Corruption Vulnerability". This CVE ID is unique from CVE-2017-11886, CVE-2017-11889, CVE-2017-11893, CVE-2017-11894, CVE-2017-11895, CVE-2017-11901, CVE-2017-11903, CVE-2017-11905, CVE-2017-11907, CVE-2017-11908, CVE-2017-11909, CVE-2017-11910, CVE-2017-11911, CVE-2017-11912, CVE-2017-11913, CVE-2017-11914, CVE-2017-11916, CVE-2017-11918, and CVE-2017-11930.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS