CVE-2025-14922
WysokieStreszczenie
Podatność CVE-2025-14922 w Hugging Face Diffusers CogView4 umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego procesu, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji. Narażone są systemy, które nie stosują odpowiednich zabezpieczeń przed niezaufanymi danymi.
Rekomendacja
Zaleca się aktualizację Hugging Face Diffusers do najnowszej wersji oraz wdrożenie mechanizmów walidacji danych wejściowych, aby zminimalizować ryzyko deserializacji niezaufanych danych.
Powiązane podatności
- CVE-2026-94089Krytyczne
W routerze D-Link DIR-868L w wersji 2.01b05 wykryto podatność w funkcji strcpy pliku /webfa_authentication.cgi w komponencie Authentication Handler. Manipulacja argumentami id/password prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-88857Krytyczne
W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika z uprawnieniami core.manage. Funkcja saveWatermark() kopiuje przesłany plik do katalogu dostępnego z sieci, używając dokładnie nazwy podanej przez klienta, bez sprawdzania rozszerzenia, zawartości ani sanityzacji nazwy. Użytkownik może przesłać plik .php z nagłówkiem Content-Type obrazu i wykonać go, żądając ścieżki do pliku.
- CVE-2026-88856Krytyczne
W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika z uprawnieniami core.manage. Funkcja updateOSGallery(), osiągalna przez zadanie task=update_osgallery, odczytuje treść JSON i wywołuje wartość pola method jako funkcję PHP, przekazując wartość pola package jako argument, bez żadnych sprawdzeń allow-list ani is_callable(). Można wywołać funkcje takie jak system, exec, shell_exec i passthru.
- CVE-2026-88854Krytyczne
W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność na nieuwierzytelnione wstrzyknięcie SQL. Funkcje showSearchResult() i showSearchResultAjax() odczytują parametr textsearch/searchText za pomocą $input->getVar(), który nie jest prawdziwą metodą filtrowania Joomla i tylko usuwa tagi HTML, ale nie dotyka cudzysłowów ani składni SQL. Wartość jest bezpośrednio łączona w klauzulę LIKE bez escapowania. Endpoint nie wymaga logowania, a moduł wyszukiwania jest publiczny.
- CVE-2026-90817Krytyczne
W REDCap 13.3.0 i nowszych wykryto podatność umożliwiającą nieuwierzytelnione zdalne wykonanie kodu. Atakujący może manipulować żądaniami HTTP, aby uzyskać dostęp do nieprzewidzianej trasy kontrolera z publicznego kontekstu ankiety oraz dostarczyć spreparowany parametr ścieżki/strumienia pliku podczas importu danych. Wykorzystanie wymaga znajomości prawidłowego hasha publicznej ankiety.
- CVE-2026-94003Krytyczne
W urządzeniu Comfast CF-N1-S 2.6.0.1 wykryto podatność przepełnienia bufora na stosie w funkcji get_css_path_from_uri w pliku /cgi-bin/mbox-config interfejsu zarządzania WWW. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-94084Krytyczne
Podatność use-after-free w Suricata przed wersją 8.0.7 występuje w mechanizmie Http2ThreadMultiBuf, gdy transakcja jest analizowana przez reguły używające http.response_header z transformacją i bez niej.
- CVE-2026-94083Krytyczne
W Suricata przed wersją 8.0.7 występuje pomyłka typu w DoH2, która może prowadzić do nieprawidłowego zwolnienia pamięci, ponieważ kod sprzątający dla stanu HTTP2 jest wykonywany mimo że faktyczny stan to HTTP1 (przy żądaniu DoH2 z przejściem z HTTP1 na HTTP2). Wymaga to włączenia app-layer.protocols.doh2, co jest domyślne w wersjach 8.x.
- CVE-2026-93958Krytyczne
Podatność w D-Link R95 (wersja BE9500_1.00.16) dotyczy funkcji system w pliku /bin/ssi komponentu DHMAPI. Manipulacja argumentem NTPServer prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-93985Krytyczne
OpenPanel js-runtime do commita bad75bdd zawiera podatność ucieczki z sandboxa w walidatorze szablonów webhooków JavaScript, który nie blokuje dostępu do łańcuchów konstruktorów poprzez notację obliczeniową. Atakujący z prawem zapisu do projektu może tworzyć szablony webhooków wykorzystujące notację właściwości obliczeniowych, aby uzyskać dostęp do konstruktora Function i wykonać dowolny kod w procesie workera.
Oryginalny opis (angielski, źródło NVD)
Hugging Face Diffusers CogView4 Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hugging Face Diffusers. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of checkpoints. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-27424.