CVE-2024-47540
KrytyczneStreszczenie
W bibliotece GStreamer zidentyfikowano podatność w funkcji gst_matroska_demux_add_wvpk_header, polegającą na użyciu niezainicjowanej zmiennej stosu. Gdy rozmiar jest mniejszy niż 4, program wywołuje gst_buffer_unmap z niezainicjowaną zmienną map, co może prowadzić do przejęcia wskaźnika funkcji i potencjalnego wykonania kodu.
Ocena ryzyka
Podatność ta może umożliwić atakującemu przejęcie przepływu wykonania, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację biblioteki GStreamer do wersji 1.24.10, w której ta podatność została naprawiona.
Powiązane podatności
- CVE-2026-109515Krytyczne
Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().
- CVE-2026-109219Krytyczne
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-111444Krytyczne
Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.
- CVE-2026-111329Krytyczne
JuggleIM im-server do wersji 1.8.16 zawiera domyślne poświadczenia administratora admin/123456, które pozwalają nieuwierzytelnionym zdalnym atakującym na dostęp do konsoli administracyjnej na porcie 8090. Atakujący mogą zalogować się jako administrator, nawet po usunięciu konta, ponieważ CheckLogin odtwarza je, aby kontrolować aplikacje dzierżawcy i sekrety aplikacji.
- CVE-2026-111322Krytyczne
Archon w wersjach od 0.2.13 do 0.11.1 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do API kontrolnego /api/*, domyślnie nasłuchującego na 0.0.0.0. Atakujący z dostępem sieciowym mogą wysyłać wiadomości do agenta AI, który działa z bypassPermissions, aby wykonać polecenia na hoście jako użytkownik Archon.
- CVE-2026-111283Krytyczne
BMC Helix Network Management on-prem przed wersją 26.3.01 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako lokalny administrator z dowolnym hasłem, gdy skonfigurowano SAML SSO. Atakujący mogą uzyskać sesję SuperAdmin, modyfikować poświadczenia urządzeń, uruchamiać polecenia i zmieniać zapisy audytu.
- CVE-2026-111281Krytyczne
Kamery IP Jooan JA-A12 z firmware 009_20171107 i 05.02.31.105 zawierają lukę zdalnego wykonania kodu, która pozwala nieuwierzytelnionym atakującym uruchomić polecenia root poprzez hardkodowane poświadczenia. Atakujący wysyła singleCMD=SetDiagMode do /goform/SingleHandlebyCommand z wybranym authserverip i authcode, powodując wykonanie poleceń przez demon jooandiag poprzez /bin/sh, co daje pełną kontrolę nad urządzeniem.
- CVE-2026-105039Krytyczne
Obrazy Docker EnergizeLab station-middleware (NestJS) w wersjach od 1.6.5 do 1.8.2 nie sprawdzają ról użytkowników w API administracyjnych. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może pobrać klucze dostawców AI oraz zmienić konfigurację i zawartość magazynu obiektów.
- CVE-2026-105038Krytyczne
Usługi EnergizeLab Eilik i EilikO FastAPI do wnioskowania i profilowania AI udostępniają funkcje administracyjne modeli AI bez uwierzytelniania. Nieuwierzytelniony zdalny atakujący może zmienić konfigurację modelu AI i przełączyć używany model w czasie rzeczywistym.
Oryginalny opis (angielski, źródło NVD)
GStreamer is a library for constructing graphs of media-handling components. An uninitialized stack variable vulnerability has been identified in the gst_matroska_demux_add_wvpk_header function within matroska-demux.c. When size < 4, the program calls gst_buffer_unmap with an uninitialized map variable. Then, in the gst_memory_unmap function, the program will attempt to unmap the buffer using the uninitialized map variable, causing a function pointer hijack, as it will jump to mem->allocator->mem_unmap_full or mem->allocator->mem_unmap. This vulnerability could allow an attacker to hijack the execution flow, potentially leading to code execution. This vulnerability is fixed in 1.24.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS