CVE-2023-22491
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Wtyczka gatsby-transformer-remark w frameworku Gatsby przed wersjami 5.25.1 i 6.3.2 przekazuje dane wejściowe do pakietu gray-matter, który w domyślnej konfiguracji jest podatny na wstrzykiwanie JavaScriptu. Podatność występuje, gdy dane są przetwarzane w trybie data (zapytania GraphQL do węzłów MarkdownRemark), a wstrzyknięty kod wykonuje się na serwerze budującym.
Ocena ryzyka
Atakujący może wykorzystać niezaufane dane wejściowe do wykonania dowolnego kodu JavaScript na serwerze budującym, co może prowadzić do przejęcia kontroli nad procesem budowania lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki gatsby-transformer-remark do wersji 5.25.1 lub 6.3.2. Jeśli to niemożliwe, należy dezynfekować dane wejściowe przed przekazaniem ich do wtyczki.
Powiązane podatności
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
- CVE-2026-86131Krytyczne
Luka wstrzyknięcia kodu w obsłudze konfiguracji klienta BOVPN Over TLS w WatchGuard Fireware OS pozwala atakującemu kontrolującemu zdalny serwer VPN na wykonanie dowolnych poleceń z uprawnieniami root na łączącym się Fireboxie.
- CVE-2026-102794Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w nieznanym fragmencie przetwarzania pliku /api/ZRnetwork/ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-102793Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w funkcji set_time_zone pliku /api/ZRFirmware/set_time_zone. Manipulacja argumentami hostname/zonename powoduje wstrzyknięcie poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-103041Krytyczne
LightLLM do wersji 1.2.0 w wdrożeniach multimodalnych udostępnia nieuwierzytelnioną usługę cache RPyC z włączoną deserializacją pickle na wszystkich interfejsach. Atakujący mogą wysyłać spreparowane obiekty szeregowane do odsłoniętych metod cache, aby wykonać dowolny kod z uprawnieniami usługi.
- CVE-2026-103040Krytyczne
LightLLM do wersji 1.2.0 zawiera podatność zdalnego wykonania kodu w usłudze router profiler, gdy uruchomiono z flagą --enable_profiling. Usługa udostępnia nieuwierzytelniony serwer RPyC z włączoną deserializacją pickle, umożliwiając atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych obiektów szeregowych do kolejki poleceń profilera.
- CVE-2026-102792Krytyczne
Wykryto podatność w Ziroom ZHOME A0101 1.0.1.0. Dotyczy funkcji set_syslog w pliku /api/ZRnetwork/set_syslog. Manipulacja argumentami conloglevel/log_size prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-72510Krytyczne
Parametr "supplier_no" używany w funkcji wyszukiwania alokacji biznesowej jest podatny na czasową ślepą iniekcję SQL.
Oryginalny opis (angielski, źródło NVD)
Gatsby is a free and open source framework based on React that helps developers build websites and apps. The gatsby-transformer-remark plugin prior to versions 5.25.1 and 6.3.2 passes input through to the `gray-matter` npm package, which is vulnerable to JavaScript injection in its default configuration, unless input is sanitized. The vulnerability is present in gatsby-transformer-remark when passing input in data mode (querying MarkdownRemark nodes via GraphQL). Injected JavaScript executes in the context of the build server. To exploit this vulnerability untrusted/unsanitized input would need to be sourced by or added into a file processed by gatsby-transformer-remark. A patch has been introduced in `[email protected]` and `[email protected]` which mitigates the issue by disabling the `gray-matter` JavaScript Frontmatter engine. As a workaround, if an older version of `gatsby-transformer-remark` must be used, input passed into the plugin should be sanitized ahead of processing. It is encouraged for projects to upgrade to the latest major release branch for all Gatsby plugins to ensure the latest security updates and bug fixes are received in a timely manner.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS