CVE-2025-53104
KrytyczneStreszczenie
W bibliotece gluestack-ui, przed poprawką e6b4271, odkryto podatność na wstrzykiwanie poleceń w workflow GitHub Actions discussion-to-slack.yml. Nieufne pola dyskusji były bezpośrednio interpolowane w poleceniach powłoki, co umożliwiało atakującym wykonywanie dowolnych poleceń na runnerze Actions.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa, ponieważ atakujący mógłby uzyskać dostęp do systemu wykonawczego i uruchomić złośliwe polecenia. Może to prowadzić do utraty danych lub przejęcia kontroli nad środowiskiem wykonawczym.
Rekomendacja
Zaleca się usunięcie workflow discussion-to-slack.yml, jeśli korzystasz z forków lub pochodnych tej biblioteki. Upewnij się, że wszystkie komponenty są aktualne i nie zawierają znanych podatności.
Powiązane podatności
- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-104800Krytyczne
Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-110447Krytyczne
Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.
- CVE-2026-110002Krytyczne
Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-93388Krytyczne
Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.
- CVE-2026-92097Krytyczne
Wtyczka Click to Chat for WhatsApp dla WordPressa do wersji 4.44 włącznie jest podatna na dowolne wykonanie shortcode'ów. Wynika to z funkcji greetings_dialog(), która buduje placeholder {url} z filtrowanego $_SERVER['REQUEST_URI'] na stronach archiwum, a następnie przekazuje podstawioną treść do do_shortcode() w szablonach greetings-1 i greetings-2, bez usuwania ograniczników shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów zarejestrowanych przez WordPress, motyw lub inne wtyczki.
- CVE-2026-110392Krytyczne
Niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu systemu operacyjnego (wstrzyknięcie poleceń) w Samsung Open Source QA-Board umożliwia wstrzyknięcie poleceń systemu operacyjnego.
- CVE-2026-97381Krytyczne
Legacy Update to narzędzie do aktywacji i instalowania aktualizacji na starszych komputerach z Windows. W wersjach od 1.12.0 do 1.13.1 występuje błąd walidacji pochodzenia w metodzie IsPermitted kontrolki ActiveX. Po odczytaniu nazwy hosta dokumentu hostującego nazwa hosta spoza listy dozwolonych nie ustawia E_ACCESSDENIED, przez co IsPermitted zwraca S_OK. Atakujący, który nakłoni użytkownika do odwiedzenia złośliwej strony w Internet Explorerze, może wywołać kontrolkę, aby wyliczyć informacje o aktualizacjach i systemie, zainstalować aktualizacje bez zgody, wyświetlić okna dialogowe lub ponownie uruchomić komputer, gdy oczekuje na restart. Problem naprawiono w Legacy Update 1.13.2.
Oryginalny opis (angielski, źródło NVD)
gluestack-ui is a library of copy-pasteable components & patterns crafted with Tailwind CSS (NativeWind). Prior to commit e6b4271, a command injection vulnerability was discovered in the discussion-to-slack.yml GitHub Actions workflow. Untrusted discussion fields (title, body, etc.) were directly interpolated into shell commands in a run: block. An attacker could craft a malicious GitHub Discussion title or body (e.g., $(curl ...)) to execute arbitrary shell commands on the Actions runner. This issue has been fixed in commit e6b4271 where the discussion-to-slack.yml workflow was removed. Users should remove the discussion-to-slack.yml workflow if using a fork or derivative of this repository.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS