CVE-2023-33966
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W Deno w wersji 1.34.0 i deno_runtime 0.114.0 występuje luka, która pozwala na nieautoryzowane outboundowe żądania HTTP, ponieważ nie są one sprawdzane względem listy dozwolonych uprawnień sieciowych. Użytkownicy Deno w wersjach wcześniejszych niż 1.34.0 oraz użytkownicy Deno Deploy nie są dotknięci tą podatnością.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów sieciowych, co może prowadzić do wycieku danych lub innych ataków. Wykorzystanie tej luki przez złośliwego aktora może skutkować poważnymi konsekwencjami dla bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do Deno w wersji 1.34.1 lub deno_runtime 0.114.1, aby usunąć tę podatność. Brak dostępnych obejść dla tego problemu.
Powiązane podatności
- CVE-2026-94053Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania przez wstrzyknięcie LDAP w komponencie sshd-ldap biblioteki Apache MINA SSHD. Brak odpowiedniego escapowania znaków specjalnych filtrów LDAP pozwala na uwierzytelnienie z nazwą użytkownika "*" i hasłem "*".
- CVE-2026-94052Krytyczne
Brak sprawdzenia w LdapPasswordAuthenticator w komponencie sshd-ldap biblioteki Apache MINA SSHD umożliwia ominięcie kontroli uwierzytelniania. Podatność dotyczy tylko serwerów używających LdapPasswordAuthenticator do uwierzytelniania hasłem.
- CVE-2026-77185Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania w sshd-core biblioteki Apache MINA SSHD. Błąd w implementacji mechanizmu "asynchronicznego uwierzytelniania" może prowadzić do pominięcia sprawdzenia podpisu w uwierzytelnianiu kluczem publicznym lub hostbased, lub zwrócenia błędnego wyniku.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-102508Krytyczne
Sterownik OPC UA w Apache PLC4X (PLC4J) nieprawidłowo weryfikuje podpisy kryptograficzne i certyfikaty serwera. Atakujący znajdujący się w sieci między klientem a serwerem może podszyć się pod serwer OPC UA i czytać, fałszować lub modyfikować ruch w bezpiecznym kanale, w tym przechwycić dane uwierzytelniające użytkownika. Problem występuje w wersjach od 0.9.0 do 0.13.1 i został naprawiony w wersji 1.0.0.
- CVE-2026-97196Krytyczne
Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.
- CVE-2026-75873Krytyczne
Motyw Zella dla WordPressa przed wersją 2.6.3 nie wykonuje żadnego sprawdzenia uprawnień ani nonce na jednej z akcji przesyłania czcionek, która jest dostępna dla nieuwierzytelnionych użytkowników, co pozwala im na przesyłanie dowolnych plików, w tym PHP, i osiągnięcie zdalnego wykonania kodu.
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
Deno is a runtime for JavaScript and TypeScript. In deno 1.34.0 and deno_runtime 0.114.0, outbound HTTP requests made using the built-in `node:http` or `node:https` modules are incorrectly not checked against the network permission allow list (`--allow-net`). Dependencies relying on these built-in modules are subject to the vulnerability too. Users of Deno versions prior to 1.34.0 are unaffected. Deno Deploy users are unaffected. This problem has been patched in Deno v1.34.1 and deno_runtime 0.114.1 and all users are recommended to update to this version. No workaround is available for this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS