CVE-2024-31967
KrytyczneStreszczenie
Podatność w telefonach SIP serii Mitel 6800 i 6900 oraz jednostce konferencyjnej 6970 umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku na dostęp z powodu niewłaściwej kontroli dostępu. Udany atak może pozwolić na uzyskanie nieautoryzowanego dostępu do informacji użytkowników lub konfiguracji systemu.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości ujawnienia poufnych informacji użytkowników oraz potencjalnej modyfikacji konfiguracji systemu przez nieautoryzowane osoby.
Rekomendacja
Zaleca się aktualizację oprogramowania telefonów do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających w celu ochrony przed nieautoryzowanym dostępem.
Powiązane podatności
- CVE-2026-113744Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji formSetFirewallCfg w pliku /goform/SetFirewallCfg komponentu httpd Web Management Service. Manipulacja argumentem firewallEn prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-114119Krytyczne
Best Practice Software Bp Premier przed wersją 1.14.1.1128 używa zaszytego na stałe hasła administracyjnego Microsoft SQL Server, wspólnego dla wszystkich instalacji, którego nie można zmienić bez zepsucia aplikacji. Atakujący z dostępem sieciowym do instancji bazy danych może uwierzytelnić się jako sysadmin, obejść uwierzytelnianie aplikacji i wykonać polecenia systemu operacyjnego jako SYSTEM.
- CVE-2026-114108Krytyczne
HKUDS Vibe-Trading od wersji 0.1.0 przed 0.1.7 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do interfejsu FastAPI, ponieważ require_auth() zwraca wcześnie, gdy API_AUTH_KEY nie jest ustawiony. Atakujący mogą wysyłać wiadomości do /sessions/{id}/messages, aby wywołać polecenia powłoki jako root przez BashTool, przesyłać pliki .py lub .sh przez /upload, czytać historie sesji i uzyskiwać częściowe klucze API.
- CVE-2026-113736Krytyczne
W urządzeniu D-Link DHP-W610AV w wersji 1.02EUb03 wykryto podatność w funkcji login_prepare_hnap w pliku etc/defnodes/defaultvalue.xml komponentu HNAP Login. Manipulacja argumentem Password prowadzi do pustego hasła w pliku konfiguracyjnym. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-92559Krytyczne
IBM App Connect Enterprise w wersjach od 13.0.1.0 do 13.0.8.2 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu powiązania z nieograniczonym adresem IP.
- CVE-2026-91665Krytyczne
Podatność w Oracle Essbase (komponent: Security) w wersji 21.8.3.0.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TCP na przejęcie kontroli nad Oracle Essbase. CVSS 3.1 Base Score 9.8.
- CVE-2026-91663Krytyczne
Podatność w Oracle Essbase (komponent: Security) w wersji 21.8.3.0.0. Łatwo wykorzystywalna podatność pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez T3, IIOP na przejęcie kontroli nad Oracle Essbase, z możliwym wpływem na dodatkowe produkty (zmiana zakresu). CVSS 3.1 Base Score 9.9.
- CVE-2026-91658Krytyczne
Podatność w Oracle Essbase (komponent: Security) w wersji 21.8.3.0.0. Łatwo wykorzystywalna podatność pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na przejęcie kontroli nad Oracle Essbase, z możliwym wpływem na dodatkowe produkty (zmiana zakresu). CVSS 3.1 Base Score 9.9.
- CVE-2026-91656Krytyczne
Podatność w Oracle Essbase (komponent: Federated Partitions) w wersji 21.8.3.0.0. Łatwo wykorzystywalna podatność pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany dostęp do krytycznych danych, ich modyfikację lub usunięcie oraz częściowe zakłócenie dostępności (partial DoS), z możliwym wpływem na dodatkowe produkty (zmiana zakresu). CVSS 3.1 Base Score 9.1.
- CVE-2026-91655Krytyczne
Podatność w Oracle Essbase w komponencie Security w wersji 21.8.3.0.0. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może wykorzystać podatność, co może prowadzić do nieautoryzowanego dostępu do krytycznych danych, modyfikacji danych oraz częściowej odmowy usługi. CVSS 9.1.
Oryginalny opis (angielski, źródło NVD)
A vulnerability on Mitel 6800 Series and 6900 Series SIP Phones through 6.3 SP3 HF4, 6900w Series SIP Phone through 6.3.3, and 6970 Conference Unit through 5.1.1 SP8 allows an unauthenticated attacker to conduct an unauthorized access attack due to improper access control. A successful exploit could allow an attacker to gain unauthorized access to user information or the system configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS