CVE-2025-58068
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Eventlet przed wersją 0.40.3 ma podatność w parserze WSGI na przemyt żądań HTTP (HTTP Request Smuggling) z powodu nieprawidłowej obsługi sekcji trailer HTTP. Może to umożliwić atakującym obejście kontroli bezpieczeństwa front-endu, ataki na użytkowników oraz zatruwanie pamięci podręcznych. Problem naprawiono w wersji 0.40.3 poprzez odrzucanie trailerów, co jest zmianą łamiącą kompatybilność, jeśli backend wymaga trailerów.
Ocena ryzyka
Przemyt żądań HTTP może prowadzić do obejścia zabezpieczeń, ataków na użytkowników i zatrucia cache, co może skutkować nieautoryzowanym dostępem lub wyciekiem danych. Wpływa to na aplikacje używające Eventlet WSGI.
Rekomendacja
Zaktualizuj Eventlet do wersji 0.40.3 lub nowszej. Jeśli aktualizacja nie jest możliwa, nie używaj eventlet.wsgi do obsługi niezaufanych klientów.
Powiązane podatności
- CVE-2026-111862Krytyczne
Wtyczka Rank Math SEO PRO dla WordPress została dotknięta kompromitacją łańcucha dostaw w części pakietów wersji 3.0.123 pobranych lub zaktualizowanych między 15 października 2026 20:02 UTC a 16 października 2026 07:12 UTC. Zainfekowane pliki zawierały złośliwe oprogramowanie, które mogło przejąć witrynę po aktywacji wtyczki, ustanowić trwały dostęp, komunikować się z rank1cdn[.]com i ujawniać poświadczenia WordPress, bazy danych, klucze API oraz inne sekrety.
- CVE-2026-107188Krytyczne
Użytkownik może przesłać raporty eksportu o dowolnej zawartości i określić dowolne rozszerzenie pliku, w tym JSPX, a następnie każdy może uzyskać dostęp do przesłanego pliku, co prowadzi do wykonania kodu. Podatność na obejście uwierzytelniania może być połączona z tą podatnością, umożliwiając uruchomienie kodu na serwerze bez uwierzytelnienia.
- CVE-2026-111058Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter jako aplikacji webowych. W wersjach przed 3.2.6 domyślne wdrożenia bez tokenów pozwalają anonimowym klientom tworzyć jądra Jupyter i wysyłać komunikaty execute_request z dowolnym kodem Pythona. Lista blokowanych endpointów nie obejmuje /api/kernels, a wrapper websocket nie autoryzował wykonywalnych komunikatów.
- CVE-2026-111057Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter. W wersjach od 3.0.0 do 3.2.4 brakujący przecinek w BLOCKED_PATTERNS łączy wyrażenia regularne /lab i /api/terminals, przez co żądania do /api/terminals omijają blokadę anonimowych endpointów i docierają do API terminala Jupyter Server. Nieuwierzytelniony atakujący może uzyskać interaktywną powłokę systemu operacyjnego i wykonywać polecenia.
- CVE-2026-109432Krytyczne
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
- CVE-2026-112296Krytyczne
FlyCms do commita edfdf724 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp superadministratora za pomocą konta flycms z hasłem admin123. Atakujący mogą zalogować się przez POST /api/auth/login, rozwiązując jedynie captchę obrazkową, i uzyskać pełną kontrolę nad treścią, użytkownikami i konfiguracją witryny.
- CVE-2026-112292Krytyczne
CheckCle do wersji 1.6.0 zawiera podatność związaną z brakiem autoryzacji, która pozwala nieuwierzytelnionym atakującym odczytywać, modyfikować i usuwać rekordy, ponieważ dostarczane kolekcje PocketBase używają pustych reguł API. Atakujący mogą odpytywać endpointy /api/collections/<name>/records, aby wykradać wartości server_token i sekrety alert_configurations, wyłączać alerty, zmieniać strony statusu lub usuwać dane monitoringu.
- CVE-2026-78162Krytyczne
Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-110887Krytyczne
Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.
Oryginalny opis (angielski, źródło NVD)
Eventlet is a concurrent networking library for Python. Prior to version 0.40.3, the Eventlet WSGI parser is vulnerable to HTTP Request Smuggling due to improper handling of HTTP trailer sections. This vulnerability could enable attackers to, bypass front-end security controls, launch targeted attacks against active site users, and poison web caches. This problem has been patched in Eventlet 0.40.3 by dropping trailers which is a breaking change if a backend behind eventlet.wsgi proxy requires trailers. A workaround involves not using eventlet.wsgi facing untrusted clients.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS