Aktywnie wykorzystywana w atakach
FatPipe WARP, IPVPN, and MPVPN Configuration Upload exploit
FatPipe - WARP, IPVPN, and MPVPN software · Figuruje w katalogu CISA KEV od 2022-01-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-27860
KrytyczneCVSS 9.8KEVStreszczenie
Luka w interfejsie zarządzania webowego oprogramowania FatPipe WARP, IPVPN i MPVPN w wersjach przed 10.1.2r60p92 i 10.2.2r44p1 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie pliku w dowolne miejsce w systemie plików. Identyfikator doradczy FatPipe dla tej luki to FPSA006.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki, takie jak webshelle, co prowadzi do zdalnego wykonania kodu i pełnego przejęcia urządzenia. Luka nie wymaga uwierzytelnienia, co czyni ją łatwą do wykorzystania.
Rekomendacja
Zaktualizuj oprogramowanie FatPipe WARP, IPVPN i MPVPN do wersji 10.1.2r60p92 lub 10.2.2r44p1 (lub nowszych). Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsu zarządzania do zaufanych sieci.
Powiązane podatności
- CVE-2026-87886WysokieAktywnie exploitowane
Podatność polega na lokalnym podniesieniu uprawnień wynikającym z niezabezpieczonych uprawnień do plików. Dotyczy produktów Acronis Backup plugin for cPanel & WHM (Linux) przed build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) przed build 1.8.11.638 oraz Acronis Backup plugin for DirectAdmin (Linux) przed build 1.2.3.238.
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70200Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70009Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Arc pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69865Krytyczne
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w Microsoft Container Registry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69399Krytyczne
Podatność typu Elevation of Privilege (podniesienie uprawnień) w usłudze Azure Arc. Szczegóły techniczne nie zostały podane w opisie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web management interface of FatPipe WARP, IPVPN, and MPVPN software prior to versions 10.1.2r60p92 and 10.2.2r44p1 allows a remote, unauthenticated attacker to upload a file to any location on the filesystem. The FatPipe advisory identifier for this vulnerability is FPSA006.