CVE-2025-47629
WysokieStreszczenie
Podatność na deserializację niezaufanych danych w systemie WP-CRM autorstwa Mario Peshev umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WP-CRM System od n/a do 3.4.5 włącznie.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do systemu oraz manipulacji danymi, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację systemu WP-CRM do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Powiązane podatności
- CVE-2026-86102Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w wewnętrznym serwisie API punktów dostępowych WatchGuard AP. Atakujący z dostępem sieciowym do AP może wykonać dowolne polecenia powłoki na systemie operacyjnym.
- CVE-2026-101894Krytyczne
Pakiet decompress dla Node.js przed wersjami 10.2.2 i 11.1.4 (oraz nieutrzymywany pakiet decompress do 4.2.1) ma podatność na obejście kontroli ścieżek przez łańcuchy dowiązań symbolicznych. Specjalnie spreparowane archiwum może pozwolić na zapis/odczyt plików poza katalogiem docelowym, a nadpisanie skryptów startowych lub konfiguracji może prowadzić do zdalnego wykonania kodu.
- CVE-2026-101891Krytyczne
Podatność na nieprawidłową kontrolę dostępu w wewnętrznym serwisie API punktów dostępowych WatchGuard. Nieuwierzytelniony atakujący z dostępem sieciowym do AP może uzyskać ważną sesję API.
- CVE-2026-101081Krytyczne
W D-Link DI-8400 w wersji 16.07 odkryto podatność na przepełnienie bufora oparte na stosie w funkcji menu_nat_more_asp pliku menu_nat_more.asp (komponent Web Administration Service). Manipulacja argumentem opt umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-88804Krytyczne
W SUSE Rancher (wersje 2.15 przed 2.15.2, 2.14 przed 2.14.6, 2.13 przed 2.13.10, 2.12 przed 2.12.14, 2.11 przed 2.11.18) nieuwierzytelniona aktualizacja publicznych ustawień UI może być wykorzystana przez zdalnych atakujących do przeprowadzenia ataku typu stored cross-site scripting (XSS) w interfejsie Rancher.
- CVE-2026-12342Krytyczne
Podatność w IdentityIQ (wszystkie wersje) umożliwia nieuwierzytelnionemu użytkownikowi zdalne wykonanie kodu na serwerze IdentityIQ z powodu nieprawidłowej walidacji danych wejściowych w treści żądań do API usług internetowych.
- CVE-2026-101077Krytyczne
W Netcore NR289-GE w wersji 1.4.5102 odkryto brak uwierzytelnienia w funkcji process_request komponentu boa_temp Handler. Atak może być przeprowadzony zdalnie. Exploit jest publiczny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-101076Krytyczne
W Netcore NR289-GE w wersji 1.4.5102 odkryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji system pliku /set_ntp_server_ip.cgi (komponent CGI Handler). Manipulacja argumentem ntp_ip umożliwia zdalne wykonanie poleceń. Exploit jest publiczny, producent nie odpowiedział.
- CVE-2026-101075Krytyczne
W Netcore NR289-GE w wersji 1.4.5102 odkryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji system pliku /location_time.cgi (komponent Location Time Handler). Manipulacja argumentem mac umożliwia zdalne wykonanie poleceń. Exploit jest publiczny, producent nie odpowiedział.
- CVE-2026-101074Krytyczne
W Netcore NR289-GE w wersji 1.4.5102 odkryto podatność na przepełnienie bufora oparte na stosie w funkcji password-check pliku /bin/boa (komponent Authentication). Manipulacja argumentem Username umożliwia zdalny atak. Exploit jest publiczny, producent nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Mario Peshev WP-CRM System wp-crm-system allows Object Injection.This issue affects WP-CRM System: from n/a through <= 3.4.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS