CVE-2019-1199
WysokieStreszczenie
W Microsoft Outlook występuje podatność na zdalne wykonanie kodu, gdy oprogramowanie nieprawidłowo obsługuje obiekty w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście aktualnego użytkownika, co w przypadku użytkownika z uprawnieniami administratora może prowadzić do przejęcia kontroli nad systemem.
Ocena ryzyka
Podatność stwarza poważne ryzyko dla organizacji, ponieważ atakujący może instalować programy, zmieniać lub usuwać dane oraz tworzyć nowe konta z pełnymi uprawnieniami. Użytkownicy z ograniczonymi uprawnieniami mogą być mniej narażeni, ale nadal istnieje ryzyko.
Rekomendacja
Zaleca się, aby użytkownicy nie otwierali podejrzanych plików oraz aby organizacja zaktualizowała Microsoft Outlook do najnowszej wersji, aby zminimalizować ryzyko wykorzystania tej podatności.
Powiązane podatności
- CVE-2026-81867Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.
- CVE-2026-19759Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.
- CVE-2026-101039Krytyczne
W urządzeniu FAST FAC1900R w wersji 20190827_2.0.2.2 wykryto podatność w funkcji copy_msg_element komponentu devdiscover Service. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101038Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji MmtAtePrase komponentu MmtAtePrase Parser. Manipulacja powoduje przepełnienie bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101037Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji parse_advertisement_frame komponentu devdiscover Service. Manipulacja prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-82384Krytyczne
Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-82378Krytyczne
Apache Roller 6.1.5 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym autoryzacji OAuth 1.0a. Nieuwierzytelniony zdalny atakujący, który pozna ważny token żądania dla skonfigurowanego konsumenta ogólnodostępnego, może powiązać ten token z dowolnym kontem użytkownika, w tym administratorem, wysyłając niepodpisane żądanie autoryzacji. Punkt końcowy ustala tożsamość autoryzującą na podstawie wartości dostarczonej w żądaniu, a nie uwierzytelnionej sesji.
- CVE-2026-82377Krytyczne
Apache Roller 6.1.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie treści bloga należącego do innych blogów poprzez starsze interfejsy API XML-RPC Blogger i MetaWeblog. Handlery uwierzytelniają wywołującego, ale nie weryfikują jego uprawnień do bloga lub wpisu, którego dotyczy operacja. Podatność dotyczy tylko instalacji z włączonym niestandardowym globalnym ustawieniem XML-RPC; flaga API dla poszczególnych blogów jest domyślnie włączona dla blogów utworzonych przez interfejs użytkownika.
- CVE-2026-101008Krytyczne
W aaPanel BaoTa do wersji 11.8.0 wykryto podatność w funkcji merge_split_file w pliku /www/server/panel/class/files.py komponentu File Merge Handler. Manipulacja argumentem split_file_path prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101002Krytyczne
W urządzeniu Netcore NBR200V2 w wersji 1.3.241127.071246 wykryto lukę w funkcji system w pliku /usr/bin/network_tools, w komponencie obsługi narzędzia Ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A remote code execution vulnerability exists in Microsoft Outlook when the software fails to properly handle objects in memory. An attacker who successfully exploited the vulnerability could run arbitrary code in the context of the current user. If the current user is logged on with administrative user rights, an attacker could take control of the affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights. Exploitation of the vulnerability requires that a user open a specially crafted file with an affected version of Microsoft Outlook software. In an email attack scenario, an attacker could exploit the vulnerability by sending the specially crafted file to the user and convincing the user to open the file. In a web-based attack scenario, an attacker could host
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS