Aktywnie wykorzystywana w atakach
Smartbedded Meteobridge Command Injection Vulnerability
Smartbedded - Meteobridge · Figuruje w katalogu CISA KEV od 2025-10-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-4008
WysokieCVSS 8.8KEVStreszczenie
Interfejs webowy Meteobridge udostępnia punkt końcowy podatny na wstrzyknięcie poleceń. Zdalni nieuwierzytelnieni atakujący mogą uzyskać wykonanie dowolnych poleceń z podwyższonymi uprawnieniami (root) na zainfekowanych urządzeniach.
Ocena ryzyka
Atakujący może w pełni przejąć kontrolę nad urządzeniem Meteobridge, co może prowadzić do naruszenia integralności danych i dalszych ataków w sieci.
Rekomendacja
Zastosuj dostępne poprawki od producenta lub ogranicz dostęp do interfejsu webowego tylko do zaufanych sieci.
Powiązane podatności
- CVE-2026-87886WysokieAktywnie exploitowane
Podatność polega na lokalnym podniesieniu uprawnień wynikającym z niezabezpieczonych uprawnień do plików. Dotyczy produktów Acronis Backup plugin for cPanel & WHM (Linux) przed build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) przed build 1.8.11.638 oraz Acronis Backup plugin for DirectAdmin (Linux) przed build 1.2.3.238.
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70200Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70009Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Arc pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69865Krytyczne
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w Microsoft Container Registry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69399Krytyczne
Podatność typu Elevation of Privilege (podniesienie uprawnień) w usłudze Azure Arc. Szczegóły techniczne nie zostały podane w opisie.
Oryginalny opis (angielski, źródło NVD)
The Meteobridge web interface let meteobridge administrator manage their weather station data collection and administer their meteobridge system through a web application written in CGI shell scripts and C. This web interface exposes an endpoint that is vulnerable to command injection. Remote unauthenticated attackers can gain arbitrary command execution with elevated privileges ( root ) on affected devices.