CVE-2025-26326
WysokieStreszczenie
Zidentyfikowano podatność w dodatkach do zdalnego połączenia NVDA Remote (wersja 2.6.4) oraz Tele NVDA Remote (wersja 2025.3.3), która pozwala atakującemu na uzyskanie pełnej kontroli nad zdalnym systemem poprzez odgadnięcie słabego hasła. Dodatki te akceptują każde hasło wprowadzone przez użytkownika, nie posiadając dodatkowego mechanizmu uwierzytelniania ani weryfikacji komputera.
Ocena ryzyka
Ryzyko dla organizacji polega na tym, że atakujący może uzyskać pełny dostęp do systemu, co pozwala na wykonywanie poleceń, modyfikację plików oraz naruszenie bezpieczeństwa użytkowników. Wiele systemów korzysta z łatwych do odgadnięcia haseł, co zwiększa podatność na ataki brute force.
Rekomendacja
Zaleca się wprowadzenie silnych haseł oraz dodatkowych mechanizmów uwierzytelniania dla zdalnych połączeń. Należy również przeprowadzić audyt haseł w używanych systemach i wymusić zmianę słabych haseł na silniejsze.
Powiązane podatności
- CVE-2026-94053Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania przez wstrzyknięcie LDAP w komponencie sshd-ldap biblioteki Apache MINA SSHD. Brak odpowiedniego escapowania znaków specjalnych filtrów LDAP pozwala na uwierzytelnienie z nazwą użytkownika "*" i hasłem "*".
- CVE-2026-94052Krytyczne
Brak sprawdzenia w LdapPasswordAuthenticator w komponencie sshd-ldap biblioteki Apache MINA SSHD umożliwia ominięcie kontroli uwierzytelniania. Podatność dotyczy tylko serwerów używających LdapPasswordAuthenticator do uwierzytelniania hasłem.
- CVE-2026-77185Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania w sshd-core biblioteki Apache MINA SSHD. Błąd w implementacji mechanizmu "asynchronicznego uwierzytelniania" może prowadzić do pominięcia sprawdzenia podpisu w uwierzytelnianiu kluczem publicznym lub hostbased, lub zwrócenia błędnego wyniku.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-102508Krytyczne
Sterownik OPC UA w Apache PLC4X (PLC4J) nieprawidłowo weryfikuje podpisy kryptograficzne i certyfikaty serwera. Atakujący znajdujący się w sieci między klientem a serwerem może podszyć się pod serwer OPC UA i czytać, fałszować lub modyfikować ruch w bezpiecznym kanale, w tym przechwycić dane uwierzytelniające użytkownika. Problem występuje w wersjach od 0.9.0 do 0.13.1 i został naprawiony w wersji 1.0.0.
- CVE-2026-97196Krytyczne
Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.
- CVE-2026-103110Krytyczne
Pexip Infinity w wersjach przed 38.2 oraz 39.0, 39.1 i 40.0 zawiera błąd niewłaściwej walidacji danych wejściowych. Umożliwia on zdalnemu atakującemu zdalne wykonanie kodu jako użytkownik bez uprawnień na węźle konferencyjnym Pexip Infinity.
- CVE-2026-102911Krytyczne
W zosmaai pi-llm-wiki do wersji 0.11.7 wykryto lukę w nieznanej funkcji pliku mcp/index.ts w komponencie narzędzia wiki_capture_source MCP. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemowych, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in the NVDA Remote (version 2.6.4) and Tele NVDA Remote (version 2025.3.3) remote connection add-ons, which allows an attacker to obtain total control of the remote system by guessing a weak password. The problem occurs because these add-ons accept any password entered by the user and do not have an additional authentication or computer verification mechanism. Tests indicate that more than 1,000 systems use easy-to-guess passwords, many with less than 4 to 6 characters, including common sequences. This allows brute force attacks or trial-and-error attempts by malicious invaders. The vulnerability can be exploited by a remote attacker who knows or can guess the password used in the connection. As a result, the attacker gains complete access to the affected system and can execute commands, modify files, and compromise user security.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS