CVE-2025-11284
WysokieStreszczenie
W systemie Zytec Dalian Zhuoyun Technology Central Authentication Service 3 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /index.php/auth/Ops/git w komponencie HTTP Header Handler. Manipulacja argumentem Authorization prowadzi do wykorzystania twardo zakodowanego hasła.
Ocena ryzyka
Atakujący może zdalnie wykorzystać tę podatność, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Publiczne ujawnienie exploita zwiększa ryzyko jego wykorzystania przez osoby trzecie.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie systemu do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować logi systemowe w celu wykrycia potencjalnych prób ataków.
Powiązane podatności
- CVE-2026-25254Krytyczne
Nieprawidłowa autoryzacja w interfejsie SocketIO umożliwia zdalne wykonanie kodu. Podatność pozwala atakującemu na uruchomienie dowolnego kodu na serwerze.
- CVE-2026-93556Krytyczne
Endpoint '/password/guardarClau/recover' przyjmuje parametr 'usuariId', który określa konto, którego hasło ma zostać zmienione. Token JWT używany w procesie odzyskiwania nie jest weryfikowany względem użytkownika wskazanego w tym parametrze. Nieuwierzytelniony atakujący może manipulować identyfikatorem i zresetować hasło do dowolnego konta, w tym kont administracyjnych.
- CVE-2026-89422Krytyczne
Podatność w Erlang/OTP ssl pozwala na wymianę kluczy bez uwierzytelnienia podmiotu. Serwer odpowiadający na połączenie klienta TLS 1.3 może podszyć się pod zamierzony serwer, ponieważ rozszerzenie pre_shared_key w ServerHello, którego klient nigdy nie zaproponował, powoduje zakończenie uzgadniania bez weryfikacji certyfikatu serwera. Atakujący nie potrzebuje certyfikatu, klucza prywatnego ani wcześniejszej sesji.
- CVE-2026-93952Krytyczne
VeloCloud Orchestrator (VCO) on-prem ma problem bezpieczeństwa, który może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanej funkcjonalności wewnętrznej i wpłynąć na host VCO. Udana eksploatacja może naruszyć poufność, integralność i dostępność orkiestratora oraz danych przez niego zarządzanych.
- CVE-2026-19658Krytyczne
Wtyczka Give Tributes dla WordPressa w wersjach do 2.3.1 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych wejściowych. Nieuwierzytelniony atakujący może wstrzyknąć obiekt PHP, jednak podatność ma realny wpływ tylko wtedy, gdy w systemie zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP. Wykorzystanie wymaga włączonej opcji "Allow Multiple Recipients" oraz wyłączonej opcji "Custom Message" w eCard (domyślne ustawienie).
- CVE-2026-13355Krytyczne
Wtyczka Meta Box AIO dla WordPressa w wersjach do 3.11.0 włącznie pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień do Administratora. Luka wynika z połączenia błędów: funkcja populate_via_query_string() bez kontroli autoryzacji nadpisuje object_id formularza, a Form::process() nie sprawdza uprawnień user_can_edit(), co pozwala nadpisać treść dowolnej strony i wstrzyknąć shortcode [mb_user_profile_register] z dowolną rolą. Dotyczy to również samodzielnych wtyczek Meta Box Frontend Submission (do 4.5.6) i Meta Box User Profile (do 3.11.0).
- CVE-2026-94493Krytyczne
W urządzeniu Gigatech PDV5701 w wersji 1.0.31_240305_112640 wykryto lukę w nieznanym fragmencie przetwarzania pliku /index.html w komponencie WebSocket Service. Manipulacja prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-94572Krytyczne
W OpenStack Octavia przed wersją 18.0.1 sterownik dostawcy Amphora nie walidował pola tls_ciphers w listenerach i pulach pod kątem znaków kontrolnych. Wartość jest zapisywana dosłownie do konfiguracji HAProxy generowanej na amphorze, co pozwala uwierzytelnionemu członkowi projektu posiadającemu load balancer z TLS na wstrzyknięcie nowej linii i dowolnych dyrektyw konfiguracji HAProxy.
- CVE-2026-94571Krytyczne
W OpenStack Octavia przed wersją 18.0.1 sterownik dostawcy Amphora nie odrzucał znaków kontrolnych w polach redirect_url i redirect_prefix polityki L7. Walidator URL zgodny z RFC 3986 koduje znaki kontrolne przed walidacją, więc nowe linie przechodziły kontrole strukturalne, ale Octavia zapisywała surową, niezakodowaną wartość bezpośrednio do konfiguracji HAProxy na amphorze.
- CVE-2026-79916Krytyczne
MaxKB to open-source'owy asystent AI dla przedsiębiorstw. Przed wersją 2.10.5-lts uwierzytelnieni członkowie workspace mogą wstrzykiwać znaki kontrolne do pól access_key_id i secret_access_key AWS Bedrock, które funkcja _update_aws_credentials zapisuje do /root/.aws/credentials bez bezpiecznego parsowania. Atakujący może dopisać nowy profil AWS zawierający credential_process, a następnie wybrać go podczas późniejszej walidacji modelu, aby botocore wykonał kontrolowane przez atakującego polecenie jako root.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Zytec Dalian Zhuoyun Technology Central Authentication Service 3. Affected by this vulnerability is an unknown functionality of the file /index.php/auth/Ops/git of the component HTTP Header Handler. The manipulation of the argument Authorization leads to use of hard-coded password. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.