CVE-2025-71156
WysokieStreszczenie
W jądrze Linuxa zidentyfikowano podatność związaną z automatycznym włączaniem przerwań, które mogą być aktywowane przed pełną inicjalizacją kontekstu NAPI. Może to prowadzić do błędów w działaniu systemu.
Ocena ryzyka
Organizacja może doświadczyć awarii systemu lub problemów z wydajnością sieci w wyniku nieprawidłowego zarządzania przerwaniami, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się użycie flagi `IRQF_NO_AUTOEN` przy żądaniu przerwań, aby zapobiec automatycznemu włączaniu, oraz jawne włączanie przerwania w ścieżce inicjalizacji NAPI.
Powiązane podatności
- CVE-2026-93985Krytyczne
OpenPanel js-runtime do commita bad75bdd zawiera podatność ucieczki z sandboxa w walidatorze szablonów webhooków JavaScript, który nie blokuje dostępu do łańcuchów konstruktorów poprzez notację obliczeniową. Atakujący z prawem zapisu do projektu może tworzyć szablony webhooków wykorzystujące notację właściwości obliczeniowych, aby uzyskać dostęp do konstruktora Function i wykonać dowolny kod w procesie workera.
- CVE-2026-93742Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-86591Krytyczne
Wtyczka Botiga Pro dla WordPressa przed wersją 1.6.5 nie przeprowadza żadnych kontroli autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację dowolnych opcji WordPressa z dowolnymi wartościami, co może prowadzić do eskalacji uprawnień i całkowitego przejęcia witryny. Ta sama trasa pozwala również nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów, które są wykonywane na każdej stronie front-endu, oraz na przenoszenie dowolnych wpisów do kosza.
- CVE-2026-93741Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-93740Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75885Krytyczne
W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: gve: defer interrupt enabling until NAPI registration Currently, interrupts are automatically enabled immediately upon request. This allows interrupt to fire before the associated NAPI context is fully initialized and cause failures like below: [ 0.946369] Call Trace: [ 0.946369] <IRQ> [ 0.946369] __napi_poll+0x2a/0x1e0 [ 0.946369] net_rx_action+0x2f9/0x3f0 [ 0.946369] handle_softirqs+0xd6/0x2c0 [ 0.946369] ? handle_edge_irq+0xc1/0x1b0 [ 0.946369] __irq_exit_rcu+0xc3/0xe0 [ 0.946369] common_interrupt+0x81/0xa0 [ 0.946369] </IRQ> [ 0.946369] <TASK> [ 0.946369] asm_common_interrupt+0x22/0x40 [ 0.946369] RIP: 0010:pv_native_safe_halt+0xb/0x10 Use the `IRQF_NO_AUTOEN` flag when requesting interrupts to prevent auto enablement and explicitly enable the interrupt in NAPI initialization path (and disable it during NAPI teardown). This ensures that interrupt lifecycle is stric