CVE-2025-41225
WysokieStreszczenie
Serwer vCenter zawiera podatność na wykonanie polecenia z autoryzacją. Złośliwy aktor posiadający uprawnienia do tworzenia lub modyfikowania alarmów oraz uruchamiania akcji skryptowych może wykorzystać tę lukę do uruchamiania dowolnych poleceń na serwerze vCenter.
Ocena ryzyka
Podatność ta stwarza ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Złośliwe działania mogą wpłynąć na integralność i dostępność usług zarządzanych przez vCenter.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników do tworzenia i modyfikowania alarmów oraz uruchamiania akcji skryptowych. Należy również regularnie aktualizować oprogramowanie vCenter w celu usunięcia tej podatności.
Powiązane podatności
- CVE-2026-81867Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.
- CVE-2026-19759Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.
- CVE-2026-101039Krytyczne
W urządzeniu FAST FAC1900R w wersji 20190827_2.0.2.2 wykryto podatność w funkcji copy_msg_element komponentu devdiscover Service. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101038Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji MmtAtePrase komponentu MmtAtePrase Parser. Manipulacja powoduje przepełnienie bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101037Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji parse_advertisement_frame komponentu devdiscover Service. Manipulacja prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-82384Krytyczne
Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-82378Krytyczne
Apache Roller 6.1.5 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym autoryzacji OAuth 1.0a. Nieuwierzytelniony zdalny atakujący, który pozna ważny token żądania dla skonfigurowanego konsumenta ogólnodostępnego, może powiązać ten token z dowolnym kontem użytkownika, w tym administratorem, wysyłając niepodpisane żądanie autoryzacji. Punkt końcowy ustala tożsamość autoryzującą na podstawie wartości dostarczonej w żądaniu, a nie uwierzytelnionej sesji.
- CVE-2026-82377Krytyczne
Apache Roller 6.1.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie treści bloga należącego do innych blogów poprzez starsze interfejsy API XML-RPC Blogger i MetaWeblog. Handlery uwierzytelniają wywołującego, ale nie weryfikują jego uprawnień do bloga lub wpisu, którego dotyczy operacja. Podatność dotyczy tylko instalacji z włączonym niestandardowym globalnym ustawieniem XML-RPC; flaga API dla poszczególnych blogów jest domyślnie włączona dla blogów utworzonych przez interfejs użytkownika.
- CVE-2026-101008Krytyczne
W aaPanel BaoTa do wersji 11.8.0 wykryto podatność w funkcji merge_split_file w pliku /www/server/panel/class/files.py komponentu File Merge Handler. Manipulacja argumentem split_file_path prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101002Krytyczne
W urządzeniu Netcore NBR200V2 w wersji 1.3.241127.071246 wykryto lukę w funkcji system w pliku /usr/bin/network_tools, w komponencie obsługi narzędzia Ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
The vCenter Server contains an authenticated command-execution vulnerability. A malicious actor with privileges to create or modify alarms and run script action may exploit this issue to run arbitrary commands on the vCenter Server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS