CVE-2024-51954
WysokieStreszczenie
W ArcGIS Server w wersjach 11.3 i niższych na systemach Windows i Linux występuje problem z niewłaściwą kontrolą dostępu, który w specyficznych okolicznościach może umożliwić zdalnemu, nisko uprzywilejowanemu uwierzytelnionemu atakującemu dostęp do zabezpieczonych usług. Sukces w wykorzystaniu tej podatności prowadzi do nieautoryzowanego dostępu do chronionych usług poza pierwotnie przypisanym zakresem autoryzacji atakującego.
Ocena ryzyka
Wykorzystanie tej podatności może poważnie wpłynąć na poufność danych, przy niskim wpływie na integralność oraz braku wpływu na dostępność oprogramowania. Organizacje mogą być narażone na nieautoryzowany dostęp do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację ArcGIS Server do najnowszej wersji, aby usunąć tę podatność oraz przegląd zabezpieczeń dostępu do usług, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Powiązane podatności
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
- CVE-2026-86131Krytyczne
Luka wstrzyknięcia kodu w obsłudze konfiguracji klienta BOVPN Over TLS w WatchGuard Fireware OS pozwala atakującemu kontrolującemu zdalny serwer VPN na wykonanie dowolnych poleceń z uprawnieniami root na łączącym się Fireboxie.
- CVE-2026-102794Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w nieznanym fragmencie przetwarzania pliku /api/ZRnetwork/ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-102793Krytyczne
W Ziroom ZHOME A0101 1.0.1.0 wykryto lukę w funkcji set_time_zone pliku /api/ZRFirmware/set_time_zone. Manipulacja argumentami hostname/zonename powoduje wstrzyknięcie poleceń, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-103041Krytyczne
LightLLM do wersji 1.2.0 w wdrożeniach multimodalnych udostępnia nieuwierzytelnioną usługę cache RPyC z włączoną deserializacją pickle na wszystkich interfejsach. Atakujący mogą wysyłać spreparowane obiekty szeregowane do odsłoniętych metod cache, aby wykonać dowolny kod z uprawnieniami usługi.
- CVE-2026-103040Krytyczne
LightLLM do wersji 1.2.0 zawiera podatność zdalnego wykonania kodu w usłudze router profiler, gdy uruchomiono z flagą --enable_profiling. Usługa udostępnia nieuwierzytelniony serwer RPyC z włączoną deserializacją pickle, umożliwiając atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych obiektów szeregowych do kolejki poleceń profilera.
- CVE-2026-102792Krytyczne
Wykryto podatność w Ziroom ZHOME A0101 1.0.1.0. Dotyczy funkcji set_syslog w pliku /api/ZRnetwork/set_syslog. Manipulacja argumentami conloglevel/log_size prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-72510Krytyczne
Parametr "supplier_no" używany w funkcji wyszukiwania alokacji biznesowej jest podatny na czasową ślepą iniekcję SQL.
Oryginalny opis (angielski, źródło NVD)
There is an improper access control issue in ArcGIS Server versions 11.3 and below on Windows and Linux which, under unique circumstances, could allow a remote, low‑privileged authenticated attacker to access secure services published to a standalone (unfederated) ArcGIS Server instance. Successful exploitation results in unauthorized access to protected services outside the attacker’s originally assigned authorization boundary, constituting a scope change. If exploited, this issue would have a high impact on confidentiality, a low impact on integrity, and no impact on the availability of the software.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS