CVE-2024-34360
WysokieStreszczenie
Podatność w go-spacemesh pozwala węzłom na publikowanie transakcji aktywacji (ATX), które odwołują się do niepoprawnego wcześniejszego ATX, co narusza zasady protokołu. Może to prowadzić do sytuacji, w której węzły są nagradzane za przechowywanie danych PoST przez krótszy czas niż jeden epok, co stwarza wektory ataku.
Ocena ryzyka
Organizacje mogą być narażone na nieuczciwe nagrody dla węzłów, co może prowadzić do destabilizacji sieci oraz utraty zaufania do systemu. W dłuższej perspektywie może to wpłynąć na integralność danych i bezpieczeństwo całej infrastruktury.
Rekomendacja
Zaleca się aktualizację do wersji go-spacemesh 1.5.2-hotfix1 oraz Spacemesh API 1.37.1, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Powiązane podatności
- CVE-2026-105215Krytyczne
ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.
- CVE-2026-105209Krytyczne
ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.
- CVE-2026-105207Krytyczne
ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
- CVE-2026-105134Krytyczne
W systemie AhsayCBS do wersji 10.3.2 wykryto podatność na iniekcję poleceń systemu operacyjnego w pliku /rps/api/json/UpdateReceivers.do. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji 10.3.4 rozwiązuje problem.
- CVE-2026-105105Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w brokerze telemetrii i komend ait-server w NASA-AMMOS AIT-Core do wersji 3.1.1. Nieuwierzytelniony zdalny atakujący z dostępem do magistrali ZeroMQ może wstrzykiwać dane komend statku kosmicznego, wyciągać ruch komend i telemetrii, wstrzykiwać sfałszowaną telemetrię lub zakłócać działanie magistrali. Domyślnie gniazda XSUB i XPUB są powiązane ze wszystkimi interfejsami sieciowymi bez uwierzytelniania.
- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-92084Krytyczne
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.11.0.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Wykorzystanie wymaga strony z modułem Sidebar zawierającym widget wyświetlający tekst kontrolowany przez atakującego, np. widget Recent Comments z zatwierdzonym komentarzem.
- CVE-2026-87115Krytyczne
Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.
Oryginalny opis (angielski, źródło NVD)
go-spacemesh is a Go implementation of the Spacemesh protocol full node. Nodes can publish activations transactions (ATXs) which reference the incorrect previous ATX of the Smesher that created the ATX. ATXs are expected to form a single chain from the newest to the first ATX ever published by an identity. Allowing Smeshers to reference an earlier (but not the latest) ATX as previous breaks this protocol rule and can serve as an attack vector where Nodes are rewarded for holding their PoST data for less than one epoch but still being eligible for rewards. This vulnerability is fixed in go-spacemesh 1.5.2-hotfix1 and Spacemesh API 1.37.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS