CVE-2024-54450
KrytyczneStreszczenie
W aplikacji Kurmi Provisioning Suite w wersji 7.9.0.33 odkryto problem związany z nagłówkiem X-Forwarded-For. Podczas uwierzytelniania aplikacja może zarejestrować fałszywy adres IP z tego nagłówka zamiast rzeczywistego adresu IP użytkownika.
Ocena ryzyka
Fałszywy adres IP może prowadzić do nieprawidłowego śledzenia aktywności użytkowników oraz utrudniać identyfikację rzeczywistych źródeł logowania, co zwiększa ryzyko nadużyć.
Rekomendacja
Zaleca się weryfikację i filtrowanie nagłówków X-Forwarded-For przed ich użyciem w aplikacji, aby zapewnić, że rejestrowany jest tylko rzeczywisty adres IP użytkownika.
Powiązane podatności
- CVE-2026-110812Krytyczne
Podatność deserializacji niezaufanych danych w komponencie importu danych grafu Gremlin w silniku Amazon Neptune. Uwierzytelniony zdalny użytkownik z uprawnieniami standardowymi bazy danych może wykonać dowolny kod i uzyskać dostęp do wewnętrznych poświadczeń usługi.
- CVE-2026-57155Krytyczne
W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.
- CVE-2026-110958Krytyczne
W Wavlink WN530HG4B (M30HG4B_V260724) w pliku api.cgi występuje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105474Krytyczne
W SolusVM 2 do wersji 2.0.0-44576 występuje podatność server-side template injection (SSTI), która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-47168Krytyczne
W EspoCRM przed wersją 9.3.7 uwierzytelniony administrator może dostarczyć spreparowane dane serializowanego obiektu PHP, które są przechowywane w parametrach MassAction lub Export, a następnie deserializowane bez ograniczeń klas, co prowadzi do wykonania dowolnego kodu.
- CVE-2026-110957Krytyczne
W Wavlink WL-WN530BE2-A do wersji M30BE2_V250604 w funkcji sub_12580 pliku api.cgi (komponent Login Processing) manipulacja argumentem REMOTE_ADDR prowadzi do wstrzyknięcia poleceń systemowych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-99999Krytyczne
W jądrze Linux rozwiązano podatność w stosie IPv4: jeśli pakiet z błędnymi metadanymi sumy kontrolnej trafi do stosu, funkcja skb_checksum_help może uszkodzić nagłówek sieciowy. Wprowadzono dodatkową walidację checksum_start przed ukończeniem sumy kontrolnej.
- CVE-2026-109892Krytyczne
W wtyczce Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.29.13 występuje nieprawidłowe przypisanie uprawnień, które pozwala na eskalację uprawnień.
- CVE-2026-109698Krytyczne
W wtyczce Mang Board WP (mangboard) do wersji 2.4.4 występuje podatność SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
- CVE-2026-109688Krytyczne
W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Kurmi Provisioning Suite 7.9.0.33. If an X-Forwarded-For header is received during authentication, the Kurmi application will record the (possibly forged) IP address mentioned in that header rather than the real IP address that the user logged in from. This fake IP address can later be displayed in the My Account popup that shows the IP address that was used to log in.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS