CVE-2024-5185
WysokieStreszczenie
Aplikacja EmbedAI jest podatna na ataki związane z zanieczyszczeniem danych, co może prowadzić do kompromitacji aplikacji. Wykorzystanie luki CSRF, wynikającej z braku odpowiedniego zarządzania sesjami oraz słabych polityk CORS, umożliwia atakującemu wprowadzenie nieautoryzowanych danych.
Ocena ryzyka
Kompromitacja aplikacji może prowadzić do wprowadzenia błędnych danych do modelu językowego, co zagraża integralności i wiarygodności systemu. Organizacja może ponieść straty w wyniku błędnych decyzji opartych na zafałszowanych danych.
Rekomendacja
Zaleca się wdrożenie silnego zarządzania sesjami oraz poprawę polityk CORS, aby zminimalizować ryzyko ataków CSRF. Należy również przeprowadzić audyt bezpieczeństwa aplikacji w celu identyfikacji i naprawy istniejących luk.
Powiązane podatności
- CVE-2026-105285Krytyczne
Wykryto podatność w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona nieznanej funkcji w pliku /boafrm/formIpQoS komponentu QoS Rule Handler. Manipulacja argumentami addQos/comment/entry_name prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105284Krytyczne
Zidentyfikowano słabość w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona funkcji sub_40FCFC w pliku /bin/boa komponentu Authentication Check. Wykonanie manipulacji może prowadzić do nieprawidłowej autoryzacji. Atak może być uruchomiony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-103510Krytyczne
P4 Search w wersjach przed 2026.4.2 nie zabezpiecza się w sposób bezpieczny, gdy jego token uwierzytelniania usługi jest pusty. W dotkniętych konfiguracjach nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do naruszenia bezpieczeństwa P4 Search i połączonego serwera P4.
- CVE-2026-100103Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 resetują token uwierzytelniania usługi do publicznie udokumentowanej wartości domyślnej. Nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do wykonania dowolnego kodu i naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-100102Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 włączają nieuwierzytelniony interfejs debugowania Java. Atakujący z dostępem sieciowym do tego interfejsu może wykonać dowolny kod jako konto usługi P4 Search, co może prowadzić do naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-105215Krytyczne
ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.
- CVE-2026-105209Krytyczne
ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.
- CVE-2026-105207Krytyczne
ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
Oryginalny opis (angielski, źródło NVD)
The EmbedAI application is susceptible to security issues that enable Data Poisoning attacks. This weakness could result in the application becoming compromised, leading to unauthorized entries or data poisoning attacks, which are delivered by a CSRF vulnerability due to the absence of a secure session management implementation and weak CORS policies weakness. An attacker can direct a user to a malicious webpage that exploits a CSRF vulnerability within the EmbedAI application. By leveraging this CSRF vulnerability, the attacker can deceive the user into inadvertently uploading and integrating incorrect data into the application’s language model.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS