CVE-2026-0762
WysokieStreszczenie
Podatność CVE-2026-0762 dotyczy funkcji stream_daas w GPT Academic, gdzie brak odpowiedniej walidacji danych dostarczanych przez użytkownika prowadzi do deserializacji niezaufanych danych. Atakujący może zdalnie wykonać dowolny kod na zainfekowanych instalacjach, wymagając interakcji z złośliwym serwerem DAAS.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad systemem w kontekście użytkownika root, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania GPT Academic do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów walidacji danych, aby zminimalizować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-93985Krytyczne
OpenPanel js-runtime do commita bad75bdd zawiera podatność ucieczki z sandboxa w walidatorze szablonów webhooków JavaScript, który nie blokuje dostępu do łańcuchów konstruktorów poprzez notację obliczeniową. Atakujący z prawem zapisu do projektu może tworzyć szablony webhooków wykorzystujące notację właściwości obliczeniowych, aby uzyskać dostęp do konstruktora Function i wykonać dowolny kod w procesie workera.
- CVE-2026-93742Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-86591Krytyczne
Wtyczka Botiga Pro dla WordPressa przed wersją 1.6.5 nie przeprowadza żadnych kontroli autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację dowolnych opcji WordPressa z dowolnymi wartościami, co może prowadzić do eskalacji uprawnień i całkowitego przejęcia witryny. Ta sama trasa pozwala również nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów, które są wykonywane na każdej stronie front-endu, oraz na przenoszenie dowolnych wpisów do kosza.
- CVE-2026-93741Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-93740Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75885Krytyczne
W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
GPT Academic stream_daas Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GPT Academic. Interaction with a malicious DAAS server is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the stream_daas function. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-27956.