CVE-2026-107337
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Aplikacja Flask kiosk w Malcolm udostępnia endpoint POST /script_call/<script> bez uwierzytelniania i z wildcard CORS. Atakujący może wymusić na przeglądarce operatora wykonanie dowolnych poleceń zarządzających przez CSRF, w tym control.py --wipe, które trwale usuwa wszystkie przechwycone dane sieciowe i logi, lub control.py --stop, które oślepia monitoring bezpieczeństwa.
Ocena ryzyka
Atakujący może zdalnie usunąć krytyczne dane lub wyłączyć monitoring, co poważnie zagraża bezpieczeństwu organizacji.
Rekomendacja
Zaleca się dodanie uwierzytelniania i zabezpieczeń CSRF do tego endpointu oraz ograniczenie CORS.
Powiązane podatności
- CVE-2026-55981Krytyczne
Podatność w weryfikacji firmware w Creative Sound Blaster Katana pozwala atakującemu zmodyfikować legalny obraz firmware i wgrać go do urządzenia. Brak skutecznej weryfikacji integralności umożliwia instalację nieautoryzowanego oprogramowania.
- CVE-2026-54630Krytyczne
W Part-DB przed wersją 2.12.1 mechanizm blokowania niebezpiecznych rozszerzeń przy przesyłaniu załączników nie obejmuje rozszerzenia .phar. Plik .phar przesłany jako załącznik trafia do katalogu public/media/, który jest dokument root Apache, a konfiguracja Apache kieruje .phar do PHP-FPM, co pozwala na wykonanie dowolnego kodu PHP.
- CVE-2026-115547Krytyczne
W konsoli administracyjnej Okta Access Gateway (OAG) występuje problem walidacji danych wejściowych pozwalający na przetwarzanie specjalnie sformatowanych wartości konfiguracyjnych. Uwierzytelniony administrator może wykorzystać tę lukę do wykonania poleceń systemowych w kontekście konta usługi OAG.
- CVE-2026-19677Krytyczne
W publicznym formularzu rejestracyjnym onPhase/frevvo w wersji 11.0.14 występuje obejście uwierzytelniania. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny użytkownik tenanta, uzyskać uprawnienia TenantAdmin i Designer oraz wykonać dowolne polecenia systemu operacyjnego poprzez manipulację parametrami rejestracji.
- CVE-2026-110243Krytyczne
Usługa zarządzania siecią w firmware enkodera Kiloview E3 NDI nie waliduje nazwy interfejsu sieciowego przyjmowanej przez endpoint konfiguracji adresu utrzymania łącza przed przekazaniem jej do polecenia powłoki. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji sieci może wykorzystać tę lukę do wykonania dowolnych poleceń systemu operacyjnego jako root.
- CVE-2026-107861Krytyczne
Usługa sterowania systemem w firmware enkodera Kiloview E3 NDI nie sanityzuje parametru hostname przyjmowanego przez endpoint nazewnictwa urządzenia i przekazuje go bez cudzysłowów do polecenia powłoki. Uwierzytelniony użytkownik webowy z dostępem do tej funkcji może wstawić znaki specjalne i wykonać dowolne polecenia systemu operacyjnego jako root, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2026-97785Krytyczne
Występuje nieprawidłowa weryfikacja uwierzytelniania w usłudze AAD App Proxy. Nieuwierzytelniony atakujący może wykorzystać tę lukę do podniesienia uprawnień w sieci.
- CVE-2026-83938Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w usłudze Azure Kubernetes Configuration Service. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-110063Krytyczne
Występuje nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku (podążanie za dowiązaniem) w VM Inspector dla Azure Virtual Machines. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-109122Krytyczne
Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.
Oryginalny opis (angielski, źródło NVD)
The Malcolm kiosk Flask application exposes a POST /script_call/<script> endpoint with zero authentication and wildcard CORS (CORS(app)). An attacker can force the operator's browser to execute arbitrary management commands via CSRF, including control.py --wipe which permanently deletes all captured network traffic and forensic logs, or control.py --stop which blinds the security monitoring.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS