CVE-2026-101354

W produkcie Netcore NAP930 w wersji 0.1.241010.141410 znaleziono podatność w funkcji eval pliku /www/cgi-bin/network_tools komponentu Network Tools CGI. Manipulacja argumentem sid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W mall4j do wersji 4.0 występuje brak uwierzytelnienia w punkcie końcowym PUT /user/updatePwd, co pozwala nieuwierzytelnionym atakującym na zresetowanie hasła dowolnego konta sklepu. Atakujący może podać nazwę użytkownika w treści żądania i nadpisać hasło bez weryfikacji, co umożliwia przejęcie konta i dostęp do zamówień oraz danych osobowych.

W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanej funkcji pliku /api/ZRnetwork/set_passwd. Manipulacja argumentem password1 powoduje wstrzyknięcie poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanym przetwarzaniu pliku /api/ZRQos/set_online_client. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanego kodu w pliku /api/ZRQos/set_online_client. Manipulacja argumentem ip prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wada w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanej części pliku /api/ZRnetwork/firstSetup_wifi. Manipulacja argumentem login_pwd prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.

Wykryto podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0, dotyczącą nieznanej funkcjonalności pliku /api/ZRnetwork/firstLogin. Manipulacja argumentem firstLogin prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

PyJWT to Pythonowa implementacja standardów JSON Web Token. Przed wersją 2.14.0 funkcja is_pem_format w jwt/utils.py nie rozpoznaje wszystkich reprezentacji PEM akceptowanych przez loader cryptography. Gdy aplikacja miesza algorytmy HMAC i asymetryczne oraz dostarcza zmutowany klucz publiczny PEM jako surowe bajty klucza, HMACAlgorithm.prepare_key traktuje nierozpoznany klucz publiczny jako sekret HMAC. Atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny HMAC. Problem naprawiono w wersji 2.14.0.

Słabość w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy funkcji pop_usb_device w pliku usr/lib/lua/luci/controller/api/zrUsb.lua w komponencie API zarządzania urządzeniami USB. Manipulacja argumentem path powoduje wstrzyknięcie komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Book Library (Free) w wersji < 6.4.6. Funkcja books() w pliku site/booklibrary.php odczytuje parametry field i direction i przekazuje je przez funkcję protectInjectionWithoutQuote(), która tylko blokuje słowo kluczowe select, ale wartość jest konkatenowana bezpośrednio w niecytowanej klauzuli ORDER BY, gdzie cytowanie nie chroni. Osiągnięcie podatnej ścieżki wymaga dwóch warunków: pierwszego żądania do ustawienia domyślnych sortowań w sesji oraz końcowego komentarza (-- xselect), który spełnia sprawdzenie podciągu bez zmiany efektu ładunku.