CVE-2025-10209
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W systemie Papermerge DMS do wersji 3.5.3 wykryto lukę w obsłudze tokenów autoryzacyjnych, która prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Nieuwierzytelniony lub nisko uprawniony atakujący może uzyskać dostęp do zasobów, do których nie powinien mieć praw. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Jak najszybciej zaktualizuj Papermerge DMS do wersji nowszej niż 3.5.3 lub wdroż środki kompensacyjne (np. ograniczenie dostępu do interfejsu). Monitoruj logi pod kątem nietypowych prób autoryzacji.
Powiązane podatności
- CVE-2026-97670Krytyczne
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.
- CVE-2026-103889Krytyczne
Wtyczka 3D Product configurator dla WooCommerce do wersji 2.16.2 włącznie jest podatna na zdalne wykonanie kodu przez parametr 'xpv_image'. Brak uwierzytelniania i kontroli nonce w handlerze wp_loaded oraz brak sanityzacji parametru przed wstawieniem do szablonu HTML renderowanego przez Dompdf z włączonym PHP umożliwia nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-94589Krytyczne
Wtyczka Extensions For CF7 do wersji 3.4.5 włącznie jest podatna na dowolne wgrywanie plików przez funkcję extcf7_submit. Brak walidacji rozszerzenia, typu MIME i rozmiaru pliku w polu podpisu, brak zabezpieczeń przed wykonywaniem PHP w katalogu upload oraz obejście sanitize_file_name() umożliwiają nieuwierzytelnionym atakującym wgrywanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-104732Krytyczne
Wtyczka Advanced IP Blocker do wersji 8.13.13 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_login_action() nie sprawdza po stronie serwera, czy użytkownik przeszedł pierwszy etap logowania hasłem, a błąd w funkcji generuje nonce dla każdego nieuwierzytelnionego wywołania. Umożliwia to atakującym brute-force'owanie 6-cyfrowego kodu TOTP bez ograniczeń i uzyskanie w pełni uwierzytelnionej sesji dla dowolnego konta z włączoną 2FA, w tym administratorów.
- CVE-2026-108474Krytyczne
W JetBrains Exposed przed wersją 1.5.1 możliwy był atak SQL injection przez niepoprawnie escapowane argumenty string w kilku funkcjach SQL.
- CVE-2026-108269Krytyczne
W wersjach przed 0.5.0 biblioteki Remote Attestation TLS Clients dla Rusta i Go, weryfikatory wyzwań RA-TLS akceptowały cytaty (quote) powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący, który zdobył klucz prywatny TLS enklawy, mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w wersji 0.5.0.
- CVE-2026-108268Krytyczne
W wersjach przed tdx-v0.2.43 i tdx-gpu-v0.6.27, Enclave OS Virtual umieszczał hash klucza publicznego certyfikatu i nonce klienta w polu ReportData cytatu, ale pomijał wartość powiązaną z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w tdx-v0.2.43 i tdx-gpu-v0.6.27.
- CVE-2026-108267Krytyczne
W wersjach przed privasys-v0.5.1-go1.26.5, Privasys Go (fork języka Go z obsługą RA-TLS) w trybie wyzwania wiązał pole ReportData cytatu z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.5.1-go1.26.5.
- CVE-2026-108266Krytyczne
W wersjach przed privasys-v0.8.1, Privasys rustls (fork biblioteki rustls z obsługą RA-TLS) emitował certyfikaty wyzwania RA-TLS, których pole ReportData cytatu było powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.8.1.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Papermerge DMS up to 3.5.3. This issue affects some unknown processing of the component Authorization Token Handler. Performing manipulation results in improper authorization. The attack can be initiated remotely. The exploit has been released to the public and may be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS