CVE-2017-9333
WysokieStreszczenie
OpenWebif w wersji 1.2.5 umożliwia zdalne wykonanie kodu poprzez URL do funkcji CallOPKG w klasie IpkgController w pliku plugin/controllers/ipkg.py. Problem występuje, gdy URL odnosi się do strony kontrolowanej przez atakującego, co pozwala na wprowadzenie złośliwego pakietu.
Ocena ryzyka
Organizacje mogą być narażone na zdalne wykonanie kodu przez nieautoryzowanych użytkowników, którzy mogą wywołać funkcję CallOPKG, wprowadzając złośliwy URL. To stwarza poważne zagrożenie w przypadku produktów, które wykorzystują OpenWebif.
Rekomendacja
Zaleca się ograniczenie dostępu do funkcji CallOPKG tylko dla zaufanych użytkowników oraz weryfikację wprowadzanych URL-i, aby zapobiec wykorzystaniu tej podatności.
Powiązane podatności
- CVE-2026-92161Krytyczne
Przed wersjami 1.7.4 i 2.0.0-beta.4, dostawca OAuth Discord w FriendsOfFlarum nie weryfikuje pola 'verified' dla adresu e-mail przed przekazaniem go do rdzenia Flarum jako zaufanego. Umożliwia to nieuwierzytelnionemu atakującemu, znającemu adres e-mail ofiary, skonfigurowanie konta Discord z niezweryfikowanym adresem i zalogowanie się jako ofiara bez hasła.
- CVE-2026-62262Krytyczne
W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.
- CVE-2026-42322Krytyczne
W Piwigo przed wersją 16.4.0, admin/themes_standard_pages.php waliduje zawartość przesyłanego logo tylko po typie MIME, ale używa kontrolowanego przez atakującego rozszerzenia w nazwie pliku. Uwierzytelniony administrator może przesłać plik z rozszerzeniem wykonywalnym przez serwer, co prowadzi do wykonania kodu po umieszczeniu w katalogu logo.
- CVE-2026-39353Krytyczne
W InvoicePlane przed wersją 1.7.2-rc-1, lista dozwolonych szablonów jest budowana na podstawie katalogu PHP, który może być zapisywany przez administratora. Złośliwy plik PHP umieszczony w tym katalogu jest automatycznie zaufany i może być wybrany jako publiczny szablon, a następnie wykonany podczas renderowania publicznej faktury.
- CVE-2026-93647Krytyczne
Nieuwierzytelniony nadawca kalendarza może umieścić aktywny znacznik w adresie From w wiadomości COUNTER. Wybranie wiadomości w Zimbra Classic wyzwala przechowywany XSS, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-93643Krytyczne
Gdy OnlyOffice/Document Editing jest dostępne, nieuwierzytelniony zdalny atakujący z dostępem do istniejącego publicznego dokumentu Briefcase może nadużyć niepodpisanych pól save, aby przeprowadzić zapis poza katalogiem (path traversal) i wykonać polecenia jako użytkownik zimbra.
- CVE-2026-93642Krytyczne
Nieuwierzytelniony nadawca może sfałszować powiadomienie o udostępnieniu, które wyzwala przechowywany XSS, gdy zalogowany odbiorca Zimbra Modern kliknie Akceptuj udostępnienie, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-93641Krytyczne
Nieuwierzytelniony nadawca może sfałszować powiadomienie o udostępnieniu, które wyzwala przechowywany XSS, gdy zalogowany odbiorca Zimbra Classic kliknie Akceptuj udostępnienie, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-100075Krytyczne
W jądrze Linux, w sterowniku RDMA/srpt, funkcja srpt_alloc_rw_ctxs() przy częściowym niepowodzeniu nie resetuje liczników n_rw_ctx i n_rdma oraz nie czyści wskaźnika rw_ctxs, co prowadzi do błędnego rozliczania kredytów kolejki wysyłania. Poprawka resetuje liczniki i czyści wskaźnik przed zwróceniem błędu.
- CVE-2026-95832Krytyczne
W kitty od wersji 0.47.3 przed 0.49.0, obsługa kodów sterujących kolorami (colour control escape codes) nie neutralizuje nazw pól w odpowiedziach, co pozwala programowi piszącemu do terminala na wykonanie dowolnego polecenia w powłoce użytkownika. Atakujący może skomponować polecenie powłoki, wykorzystując znaki ASCII i znak nowej linii z handle_remote_ssh().
Oryginalny opis (angielski, źródło NVD)
OpenWebif 1.2.5 allows remote code execution via a URL to the CallOPKG function in the IpkgController class in plugin/controllers/ipkg.py, when the URL refers to an attacker-controlled web site with a Trojan horse package. This has security implications in cases where untrusted users can trigger CallOPKG calls, and these users can enter an arbitrary URL in an input field, even though that input field was only intended for a package name. This threat model may be relevant in the latest versions of third-party products that bundle OpenWebif, i.e., set-top box products. The issue of Trojan horse packages does NOT have security implications in cases where the attacker has full OpenWebif access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS