CVE-2024-3823
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Base64 Encoder/Decoder dla WordPress do wersji 0.9.2 nie posiada zabezpieczenia CSRF przy aktualizacji ustawień oraz brakuje sanityzacji i eskejpowania, co pozwala atakującym na zmuszenie zalogowanego administratora do dodania trwałych ładunków XSS poprzez atak CSRF.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę Base64 Encoder/Decoder do najnowszej wersji lub zastosuj odpowiednie zabezpieczenia CSRF oraz sanityzację danych wejściowych.
Powiązane podatności
- CVE-2026-92190Krytyczne
W Quest Foglight for Databases występuje luka w mechanizmie deserializacji niezaufanych danych w komponencie baseRmiServiceExporter. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-92189Krytyczne
W Quest Foglight for Databases metoda writeTopologySectionToFile nie waliduje ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-92188Krytyczne
Moduł ForgeMBeanServerSupport w Quest Foglight for Databases nie wymaga uwierzytelnienia przed udostępnieniem funkcjonalności. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-121597Krytyczne
W TOTOLINK A950RG wersja 4.1.2cu.5268_B20221104 funkcja setAppEasyWizardConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argument functionType, co prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny.
- CVE-2026-114549Krytyczne
W usłudze webowej NoMachine nxwebrunner (domyślnie nasłuchującej na porcie TCP 4443) występuje przepełnienie bufora na stercie wynikające z braku walidacji długości danych użytkownika. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta usługi.
- CVE-2022-29966Krytyczne
System Emerson Ovation zawiera kilka protokołów pozbawionych uwierzytelniania. Umożliwia to atakującemu zmianę konfiguracji kontrolera lub wywołanie warunku odmowy usługi (DoS).
- CVE-2026-22058Krytyczne
StorageGRID w wersjach 11.3 i nowszych pozwala atakującemu posiadającemu wiedzę o produkcie oraz możliwość komunikacji z siecią Grid Network na określonych portach na wysyłanie nieautoryzowanych żądań.
- CVE-2026-120931Krytyczne
Podatność typu out-of-bounds write w WebGL w Google Chrome na Androidzie w wersjach przed 156.0.8078.47 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-112354Krytyczne
Interfejs webowy stacji ładowania Etrel INCH AC w wersjach firmware przed 7.1.2 i 8.0.1 zawiera podatność na wbudowane domyślne poświadczenia, co pozwala zdalnym atakującym uzyskać pełny dostęp administratora poprzez logowanie się na fabryczne konto. Atakujący mogą zalogować się przez nieszyfrowany HTTP, aby uzyskać pełną konfigurację ładowarki, tożsamość OCPP ChargePoint oraz szczegóły połączenia CSMS WebSocket, umożliwiając nieautoryzowaną kontrolę administracyjną nad stacją ładowania.
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
Oryginalny opis (angielski, źródło NVD)
The Base64 Encoder/Decoder WordPress plugin through 0.9.2 does not have CSRF check when updating its settings, and is missing sanitisation as well as escaping, which could allow attackers to make logged in admin add Stored XSS payloads via a CSRF attack
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS