CVE-2019-25328
WysokieStreszczenie
XnConvert w wersji 1.82 zawiera podatność typu denial of service w polu wprowadzania kodu rejestracyjnego, która pozwala atakującym na awarię aplikacji. Atakujący mogą wygenerować 9000-bajtowy bufor powtarzających się znaków i wkleić go do pola kodu rejestracyjnego, co prowadzi do awarii aplikacji.
Ocena ryzyka
Podatność ta może prowadzić do przerwy w działaniu aplikacji, co wpływa na dostępność usług dla użytkowników. Organizacje mogą doświadczyć zakłóceń w pracy, co może wpłynąć na ich operacje.
Rekomendacja
Zaleca się aktualizację XnConvert do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto monitorować wprowadzane dane w polach rejestracyjnych, aby zapobiec wprowadzeniu nadmiernych danych.
Powiązane podatności
- CVE-2026-13684Krytyczne
Podatność polegająca na niewłaściwym kodowaniu lub escapowaniu danych wyjściowych w SCGI w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-13639Krytyczne
Podatność wynikająca z niewystarczającej entropii w logice logowania w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwala zdalnym atakującym na odczyt lub zapis dowolnych plików oraz przeprowadzanie ataków odmowy usługi.
- CVE-2026-67101Krytyczne
HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.
- CVE-2026-67100Krytyczne
HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.
- CVE-2026-93467Krytyczne
Oprogramowanie OAKlouds firmy HGiga zawiera podatność niezabezpieczonej deserializacji. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod na serwerze, wysyłając specjalnie spreparowaną treść serializowaną.
- CVE-2026-85878Krytyczne
Nieprawidłowa autoryzacja w Azure Database for PostgreSQL umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-69843Krytyczne
Obejście uwierzytelniania poprzez podszywanie się w Microsoft Fabric umożliwia nieuprawnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-62874Krytyczne
Niewystarczająca weryfikacja autentyczności danych w Azure Billing umożliwia nieuprawnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-87886WysokieAktywnie exploitowane
Podatność polega na lokalnym podniesieniu uprawnień wynikającym z niezabezpieczonych uprawnień do plików. Dotyczy produktów Acronis Backup plugin for cPanel & WHM (Linux) przed build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) przed build 1.8.11.638 oraz Acronis Backup plugin for DirectAdmin (Linux) przed build 1.2.3.238.
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
Oryginalny opis (angielski, źródło NVD)
XnConvert 1.82 contains a denial of service vulnerability in its registration code input field that allows attackers to crash the application. Attackers can generate a 9000-byte buffer of repeated characters and paste it into the registration code field to trigger an application crash.