CVE-2025-68667
KrytyczneStreszczenie
Conduit, serwer czatu oparty na Matrix, zawiera podatność umożliwiającą zdalnemu, nieuwierzytelnionemu atakującemu wymuszenie na serwerze podpisania kryptograficznego dowolnych zdarzeń członkostwa. Podatność dotyczy wersji Conduit przed 0.10.10, continuwuity przed 0.5.0, Grapevine przed commit `9a50c244` oraz tuwunel przed 1.4.8. Błąd polega na braku walidacji pochodzenia żądania podpisu, jeśli state_key zdarzenia jest prawidłowym identyfikatorem użytkownika należącym do serwera docelowego. Atakujący mogą sfałszować zdarzenia "leave" dla dowolnego użytkownika, co wymusza usunięcie użytkowników (w tym administratorów i botów) z pokoi, prowadząc do odmowy usługi lub usunięcia zabezpieczeń technicznych pokoju. Mogą również sfałszować zdarzenia "invite" od ofiary do siebie, jeśli mają konto na serwerze, gdzie...
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków DoS poprzez usunięcie administratorów i botów z pokoi, co może zakłócić działanie usług czatu i usunąć ochronę techniczną pokoi, w tym serwery polityk.
Rekomendacja
Zaleca się natychmiastową aktualizację Conduit do wersji 0.10.10 lub nowszej, continuwuity do 0.5.0 lub nowszej, Grapevine do commita `9a50c244` lub nowszego oraz tuwunel do 1.4.8 lub nowszej.
Powiązane podatności
- CVE-2026-93742Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-93741Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-93740Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75885Krytyczne
W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).
- CVE-2026-93738Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formSchedule w pliku /boafrm/formSchedule. Manipulacja argumentem webpage prowadzi do przepełnienia bufora. Atak jest możliwy zdalnie, a exploit został upubliczniony.
- CVE-2026-93839Krytyczne
LightLLM w wersji do 1.2.0 zawiera lukę obejścia uwierzytelniania w punkcie końcowym WebSocket /pd_register, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne węzły poprzez dostarczenie spreparowanego JSON bez walidacji adresu peera. Atakujący mogą ujawnić pełne prompty użytkowników kierowane do ich gniazda, wywołać odmowę usługi poprzez zastąpienie legalnych węzłów lub zmusić PD Master do wysyłania żądań do wewnętrznych adresów sieciowych.
Oryginalny opis (angielski, źródło NVD)
Conduit is a chat server powered by Matrix. A vulnerability that affects a number of Conduit-derived homeservers allows a remote, unauthenticated attacker to force the target server to cryptographically sign arbitrary membership events. Affected products include Conduit prior to version 0.10.10, continuwuity prior to version 0.5.0, Grapevine prior to commit `9a50c244`, and tuwunel prior to version 1.4.8. The flaw exists because the server fails to validate the origin of a signing request, provided the event's state_key is a valid user ID belonging to the target server. Attackers can forge "leave" events for any user on the target server. This forcibly removes users (including admins and bots) from rooms. This allows denial of service and/or the removal of technical protections for a room (including policy servers, if all users on the policy server are removed). Attackers can forge "invite" events from a victim user to themselves, provided they have an account on a server where there is