CVE-2026-10130
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
QueryWeaver zawiera podatność pozwalającą na ominięcie uwierzytelniania, umożliwiającą nieuwierzytelnionym atakującym uzyskanie ważnych tokenów sesji dla istniejących kont poprzez wysłanie żądania rejestracji ze znanym adresem e-mail ofiary. Trasa rejestracji bezwarunkowo tworzy i łączy nowy token z pasującą tożsamością przed sprawdzeniem, czy e-mail należy do istniejącego konta, co powoduje zwrócenie ważnego tokena sesji dla tożsamości ofiary bez wymagania wcześniejszych poświadczeń.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do kont użytkowników, co może prowadzić do przejęcia kont i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację QueryWeaver do wersji, w której poprawiono logikę rejestracji, oraz wdrożenie walidacji, czy e-mail należy do istniejącego konta przed utworzeniem tokena.
Powiązane podatności
- CVE-2026-124057Krytyczne
W TOTOLINK CA300-PoE 6.2c.884 odkryto lukę w zabezpieczeniach funkcji setWiFiMultipleConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem Key1Str1 prowadzi do przepełnienia bufora, a atak można zainicjować zdalnie. Exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-123966Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji saveParentControlInfo w pliku /goform/saveParentControlInfo. Manipulacja argumentem deviceId powoduje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-122041Krytyczne
Wtyczka Checkout Field Editor for WooCommerce (Pro) dla WordPressa w wersjach do 3.8.0 włącznie jest podatna na nieautoryzowane usuwanie dowolnych załączników z powodu braku sprawdzenia uprawnień i własności w funkcji ajax_remove_uploaded(). Funkcja jest zarejestrowana dla wp_ajax i wp_ajax_nopriv i chroniona wyłącznie nonce 'file_handling_nonce', który jest ujawniany w publicznym kodzie strony checkoutu.
- CVE-2026-119075Krytyczne
Wtyczka Registration Form for WooCommerce dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzenia listy dozwolonych ról w funkcji FormHandler::validate_checkout_fields(). Ścieżka rejestracji podczas checkoutu zapisuje surową wartość $_POST['user_roles'] bez walidacji, a add_user_data() wstrzykuje ją jako rolę nowego konta.
- CVE-2026-118066Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
- CVE-2026-104014Krytyczne
Wtyczka Naimur Email OTP Verification for WooCommerce w wersjach do 2.1.0 włącznie jest podatna na obejście uwierzytelniania. Endpoint finalizacji resetu hasła autoryzuje reset wyłącznie na podstawie obecności wiersza w bazie oznaczającego e-mail jako 'VERIFIED', bez sprawdzania czasu, powiązania z sesją ani tokenu, a zaplanowane zadanie czyszczenia nie ma zarejestrowanego handlera, więc nigdy nie działa.
- CVE-2026-123961Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem KeyStr prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123960Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setWanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty pppoeUser/priDns/secDns, co prowadzi do przepełnienia bufora. Podatność może być wykorzystana zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123959Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument langType, co prowadzi do przepełnienia bufora. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
QueryWeaver contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain valid session tokens for existing accounts by submitting a signup request with a known victim email address. The signup route unconditionally creates and links a new token to the matching Identity via a Cypher MERGE operation before checking whether the email belongs to an existing account, causing the server to return a valid authenticated session token for the victim's identity without requiring any prior credentials or user interaction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS