CVE-2024-43657
WysokieStreszczenie
Podatność typu 'Command Injection' w oprogramowaniu Iocharger dla ładowarek AC przed wersją 24120701 pozwala na wykonanie poleceń systemowych jako użytkownik root. Atakujący musi posiadać konto o niskich uprawnieniach, aby uzyskać dostęp do pliku CGI action.exe i przesłać zmodyfikowany plik firmware.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ atakujący zyskuje pełną kontrolę nad stacją ładowania jako użytkownik root, co pozwala na dowolne dodawanie, modyfikowanie i usuwanie plików oraz usług.
Rekomendacja
Zaleca się aktualizację oprogramowania Iocharger do wersji 24120701 lub nowszej, aby zniwelować tę podatność. Dodatkowo, należy ograniczyć dostęp do pliku action.exe tylko dla zaufanych użytkowników.
Powiązane podatności
- CVE-2026-71449Krytyczne
W Johnson Controls EasyIO FS32 występuje podatność polegająca na użyciu wbudowanego klucza kryptograficznego, co pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji przed 3.0b63.
- CVE-2026-18397Krytyczne
Podatność umożliwia nieuwierzytelnione zdalne wykonanie kodu (RCE) na maszynie ofiary poprzez wykorzystanie słabości kryptograficznych i problemów z zarządzaniem pamięcią w komponencie SConnect native host. Atak wykorzystuje nieograniczony interfejs przesyłania wiadomości między kontrolowaną przez atakującego stroną internetową a native hostem, co pozwala na obejście kontroli bezpieczeństwa.
- CVE-2026-55395Krytyczne
W systemach Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) w kontroli dostępu znajdują się zakodowane na stałe hasła. Zdalny, nieuwierzytelniony atakujący może je odczytać z firmware'u lub dokumentacji i uzyskać dostęp do robotów oraz zmienić ich konfigurację.
- CVE-2026-55393Krytyczne
W interfejsie webowym Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) nie są weryfikowane ścieżki plików. Zdalny, nieuwierzytelniony atakujący może wykorzystać podatność typu path traversal do odczytu plików konfiguracyjnych i parametrów bezpieczeństwa robotów.
- CVE-2026-56662Krytyczne
W GetSimple CMS CE przed wersją 1.5 formularz aktualizacji UpdateCE nie zawierał tokenu anty-CSRF, a serwer nie weryfikował pochodzenia żądania. Zdalny atakujący może przygotować stronę automatycznie wysyłającą sfałszowane żądanie POST; gdy odwiedzi ją uwierzytelniony administrator, serwer wykona operację pobrania i wdrożenia kodu w sesji administratora, co prowadzi do zdalnego wykonania kodu. Dodatkowo pole url jest zapisywane bez escapowania, co umożliwia wstrzyknięcie HTML.
- CVE-2026-56660Krytyczne
W GetSimple CMS CE przed wersją 1.5 procedura aktualizacji w UpdateCE.php pobiera archiwum ZIP i rozpakowuje je do katalogu webroot bez walidacji typów plików i ścieżek. Ponieważ pliki PHP są zapisywane w dostępnym z sieci katalogu, atakujący, który spowoduje przetworzenie złośliwego archiwum, może uzyskać zdalne wykonanie kodu jako użytkownik serwera. Nazwy wpisów są używane niebezpiecznie, co umożliwia path traversal (../) do zapisu plików poza katalogiem docelowym.
- CVE-2026-14984Krytyczne
W Teledyne FLIR Aware2 wersje do 6.9.0.2 przesyłają dane w postaci jawnego tekstu w głównych punktach kontroli. Zdalny, nieuwierzytelniony atakujący może przechwycić, porwać lub modyfikować ruch sesyjny robotów PackBot poprzez sniffing lub przejęcie ruchu sieciowego.
- CVE-2026-104286KrytyczneAktywnie exploitowane
Podatność typu path traversal w Fortinet FortiMail (wersje 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8, 7.2.0-7.2.9) wynika z niewłaściwego ograniczenia ścieżki do katalogu. Nieuwierzytelniony atakujący może zapisywać dowolne pliki w systemie za pomocą spreparowanych żądań HTTP lub HTTPS.
- CVE-2026-102628Krytyczne
Aplikacja Cadmos LTI (cadmos.eummena.io) miała włączony tryb debugowania Laravel (APP_DEBUG=true, APP_ENV=local) w publicznie dostępnym środowisku. Nieuwierzytelniony atakujący może wysłać żądanie GET i wywołać nieobsłużony wyjątek, co powoduje ujawnienie całego środowiska serwera, w tym wszystkich zmiennych konfiguracyjnych .env, w postaci jawnego tekstu. Naprawiono do 2026-09-02.
- CVE-2026-55083Krytyczne
DHIS2 w wersjach od 2.42.0 do przed 2.42.5.1 oraz od 2.43.0 do przed 2.43.0.1 jest podatny na zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację Java. Problem został naprawiony w wersjach 2.42.5.1, 2.43.0.1 i 2.44.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability allows OS Command Injection as root This issue affects Iocharger firmware for AC model chargers before version 24120701. Likelihood: High. However, the attacker will need a (low privilege) account to gain access to the action.exe CGI binary and upload the crafted firmware file, or convince a user with such access to upload it. Impact: Critical – The attacker has full control over the charging station as the root user, and can arbitrarily add, modify and deletefiles and services. CVSS clarification: Any network interface serving the web ui is vulnerable (AV:N) and there are not additional security measures to circumvent (AC:L), nor does the attack require and existing preconditions (AT:N). The attack is authenticated, but the level of authentication does not matter (PR:L), nor is any user interaction required (UI:N). The attack leads to a full compromised (VC:H/VI:H/VA:H), and compromis
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS