CVE-2018-10627
KrytyczneCVSS 9.8Streszczenie
Podatność CVE-2018-10627 dotyczy wszystkich wersji Echelon SmartServer 1, wszystkich wersji SmartServer 2 przed wydaniem 4.11.007 oraz wszystkich wersji i.LON 100. Atakujący może wykorzystać API SOAP do uzyskania dostępu i zmiany wrażliwych elementów konfiguracyjnych, takich jak nazwy użytkowników i hasła do serwerów WWW i FTP.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nieautoryzowanego dostępu do krytycznych danych konfiguracyjnych, co może prowadzić do kompromitacji systemów i danych. W szczególności, zmiana haseł może umożliwić atakującym przejęcie kontroli nad serwerami.
Rekomendacja
Zaleca się aktualizację do wersji SmartServer 2 4.11.007 lub nowszej oraz zabezpieczenie dostępu do API SOAP, aby ograniczyć ryzyko nieautoryzowanego dostępu do wrażliwych danych konfiguracyjnych.
Powiązane podatności
- CVE-2026-87827Krytyczne
Niektóre urządzenia DVR firmy KGUARD z podatnym oprogramowaniem układowym udostępniają usługę wykonywania poleceń systemowych na wszystkich interfejsach sieciowych bez wymaganego uwierzytelnienia. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia systemowe, co może doprowadzić do całkowitego przejęcia urządzenia. Podatność była wykorzystywana przez botnety Mirai_ptea i Mirai_aurora do rozprzestrzeniania złośliwego oprogramowania i ataków DDoS.
- CVE-2026-85978Krytyczne
Podatność na zdalne wykonanie kodu bez uwierzytelnienia w konsoli Policy Manager platformy Akana API Platform. Rozbieżność w normalizacji ścieżek między filtrem uwierzytelniającym a dyspozytorem serwletów umożliwia obejście uwierzytelnienia i dostęp do punktu końcowego, który wykonuje kod skryptowy dostarczony przez atakującego bez piaskownicy, co prowadzi do wykonania dowolnego kodu.
- CVE-2026-79696Krytyczne
Podatność na wstrzyknięcie kodu w komponencie adk web w Google Cloud Agent Development Kit (ADK) dla Pythona w wersjach od 2.0.0 do 2.6.0, w środowiskach Python (OSS), Cloud Run i GKE, gdzie zainstalowany jest pytest. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod za pomocą spreparowanego odtworzenia sesji testowej.
- CVE-2026-16272Krytyczne
Podatność polegająca na użyciu mniej zaufanego źródła w module WHMCS dla PayTR Virtual Pos iFrame API (v9x) umożliwia wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji od v9.0.0 przed v9.0.3.
- CVE-2026-21102Krytyczne
Podatność use-after-free w komponencie DualDAR przed poprawką SMR Sep-2026 Release 1 pozwala lokalnym uprzywilejowanym atakującym na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-21096Krytyczne
Podatność przepełnienia bufora na stercie w dekoderze JPEG biblioteki libimagecodec.quram.so przed poprawką SMR Sep-2026 Release 1 pozwala zdalnym atakującym na wykonanie dowolnego kodu.
- CVE-2026-21095Krytyczne
Podatność przepełnienia bufora na stercie w dekoderze DNG biblioteki libimagecodec.quram.so przed poprawką SMR Sep-2026 Release 1 pozwala zdalnym atakującym na wykonanie dowolnego kodu.
- CVE-2026-87654Krytyczne
Przepełnienie bufora w komponencie ANGLE w przeglądarce Google Chrome na systemie Windows przed wersją 153.0.8010.36. Zdalny atakujący mógł wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-87650Krytyczne
Odczyt poza zakresem (out-of-bounds read) w komponencie WebGL w przeglądarce Google Chrome przed wersją 153.0.8010.36. Zdalny atakujący mógł potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-87646Krytyczne
Użycie po zwolnieniu w Web Authentication w przeglądarce Google Chrome przed wersją 153.0.8010.36 umożliwiło zdalnemu atakującemu wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML.
Oryginalny opis (angielski, źródło NVD)
Echelon SmartServer 1 all versions, SmartServer 2 all versions prior to release 4.11.007, i.LON 100 all versions, and i.LON 600 all versions. An attacker can use the SOAP API to retrieve and change sensitive configuration items such as the usernames and passwords for the Web and FTP servers. This vulnerability does not affect the i.LON 600 product.