CVE-2025-49327
WysokieStreszczenie
Podatność CVE-2025-49327 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji ShortLinks Pro w wersjach od n/a do 1.0.7. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do danych w bazie, co stwarza poważne zagrożenie dla integralności i poufności informacji w organizacji.
Rekomendacja
Zaleca się aktualizację aplikacji ShortLinks Pro do najnowszej wersji, aby usunąć tę lukę oraz przeprowadzenie audytu bezpieczeństwa bazy danych w celu zminimalizowania ryzyka ataków SQL Injection.
Powiązane podatności
- CVE-2026-101001Krytyczne
Podatność w Netcore NBR200V2 1.3.241127.071246 w funkcji eval pliku /www/cgi-bin/network_tools interfejsu zarządzania siecią. Manipulacja argumentem QUERY_STRING prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak możliwy zdalnie, exploit publicznie dostępny.
- CVE-2026-101000Krytyczne
Podatność w Netcore NBR100V2 1.3.240614.030928 w funkcji uci.apply pliku /usr/share/rpcd/acl.d/unauthenticated.json komponentu ACL Handler. Manipulacja argumentem section prowadzi do braku autoryzacji. Atak możliwy zdalnie, exploit publicznie ujawniony.
- CVE-2026-100896Krytyczne
Podatność w TOTOLINK N150RT 3.4.0-B20201030 w funkcji system pliku /boafrm/formWlSiteSurvey interfejsu zarządzania siecią. Manipulacja argumentem wlanif prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak możliwy zdalnie, exploit publicznie dostępny.
- CVE-2026-100886Krytyczne
W urządzeniach Seetong T8108, T8108P, T8116 i T8232 w wersji 4.6.1.4-build202604241011 wykryto podatność w nieznanej funkcji komponentu Debug Service. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-101090Krytyczne
Nezha 2.2.3 zawiera regresję wstrzykiwania nagłówka Host w punkcie końcowym przekierowania OAuth2. Gdy opcjonalne ustawienie dashboard_host jest puste, /api/v1/oauth2/{provider} odzwierciedla nagłówek Host dostarczony przez atakującego do redirect_uri wysyłanego do dostawcy tożsamości. Atakujący może przejąć kod autoryzacyjny ofiary i przejąć konto.
- CVE-2026-101084Krytyczne
Wersje obot przed v0.21.1 nie egzekwują reguł kontroli dostępu na punkcie końcowym /mcp-connect, co pozwala każdemu uwierzytelnionemu użytkownikowi na połączenie z ograniczonymi serwerami MCP, jeśli zna ich identyfikator. Atakujący mogą ominąć autoryzację i uzyskać dostęp do wrażliwych systemów zaplecza.
- CVE-2026-101065Krytyczne
Obot w wersjach do commit d7e6970 włącznie, gdy uruchamiany jest przez szybki start Docker z README, nasłuchuje na 0.0.0.0:8080 z wyłączonym uwierzytelnianiem. Każde żądanie jest mapowane na syntetycznego użytkownika 'nobody' z rolami Owner i Admin, co daje pełny dostęp administracyjny do API i UI Obot. Dodatkowo montowany jest /var/run/docker.sock, co daje dostęp do kontroli Docker hosta.
- CVE-2026-88773Krytyczne
Podatność na przemycanie żądań/odpowiedzi HTTP (HTTP Request/Response Smuggling) w Citrix NetScaler ADC i Gateway. Wynika z niespójnej interpretacji żądań HTTP.
- CVE-2026-88772KrytyczneAktywnie exploitowane
Podatność w Citrix NetScaler ADC i Gateway umożliwiająca zdalne wykonanie kodu lub odmowę usługi (DoS).
- CVE-2026-88771KrytyczneAktywnie exploitowane
Podatność polegająca na nieprawidłowej walidacji danych wejściowych w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Ruben Garcia ShortLinks Pro shortlinkspro allows SQL Injection.This issue affects ShortLinks Pro: from n/a through <= 1.0.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS