CVE-2025-5106
WysokieStreszczenie
Wykryto krytyczną podatność w Fujian Kelixun 1.0, która dotyczy nieznanej części pliku /app/fax/fax_view.php w komponencie Filename Handler. Manipulacja argumentem fax_file prowadzi do wstrzyknięcia poleceń systemowych.
Ocena ryzyka
Atakujący może zdalnie wykorzystać tę podatność, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Publiczne ujawnienie exploita zwiększa ryzyko ataków na podatne systemy.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania Fujian Kelixun do najnowszej wersji, aby usunąć tę podatność. Należy również przeprowadzić audyt bezpieczeństwa systemu w celu zidentyfikowania potencjalnych zagrożeń.
Powiązane podatności
- CVE-2026-81867Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.
- CVE-2026-19759Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.
- CVE-2026-101039Krytyczne
W urządzeniu FAST FAC1900R w wersji 20190827_2.0.2.2 wykryto podatność w funkcji copy_msg_element komponentu devdiscover Service. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101038Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji MmtAtePrase komponentu MmtAtePrase Parser. Manipulacja powoduje przepełnienie bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101037Krytyczne
W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji parse_advertisement_frame komponentu devdiscover Service. Manipulacja prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-82384Krytyczne
Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-82378Krytyczne
Apache Roller 6.1.5 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym autoryzacji OAuth 1.0a. Nieuwierzytelniony zdalny atakujący, który pozna ważny token żądania dla skonfigurowanego konsumenta ogólnodostępnego, może powiązać ten token z dowolnym kontem użytkownika, w tym administratorem, wysyłając niepodpisane żądanie autoryzacji. Punkt końcowy ustala tożsamość autoryzującą na podstawie wartości dostarczonej w żądaniu, a nie uwierzytelnionej sesji.
- CVE-2026-82377Krytyczne
Apache Roller 6.1.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie treści bloga należącego do innych blogów poprzez starsze interfejsy API XML-RPC Blogger i MetaWeblog. Handlery uwierzytelniają wywołującego, ale nie weryfikują jego uprawnień do bloga lub wpisu, którego dotyczy operacja. Podatność dotyczy tylko instalacji z włączonym niestandardowym globalnym ustawieniem XML-RPC; flaga API dla poszczególnych blogów jest domyślnie włączona dla blogów utworzonych przez interfejs użytkownika.
- CVE-2026-101008Krytyczne
W aaPanel BaoTa do wersji 11.8.0 wykryto podatność w funkcji merge_split_file w pliku /www/server/panel/class/files.py komponentu File Merge Handler. Manipulacja argumentem split_file_path prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-101002Krytyczne
W urządzeniu Netcore NBR200V2 w wersji 1.3.241127.071246 wykryto lukę w funkcji system w pliku /usr/bin/network_tools, w komponencie obsługi narzędzia Ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Fujian Kelixun 1.0. It has been classified as critical. This affects an unknown part of the file /app/fax/fax_view.php of the component Filename Handler. The manipulation of the argument fax_file leads to os command injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS