CVE-2026-108962
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Podatność znaleziona w storyicon comfyui_segment_anything do wersji ab6395596399d5048639cdab7e44ec9fae857a93. Dotyczy funkcji SLConfig._file2dict w pliku local_groundingdino/util/slconfig.py komponentu GroundingDINO Model Loading. Manipulacja argumentem config prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Produkt stosuje podejście ciągłych wydań, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod w kontekście aplikacji, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Ogranicz dostęp do aplikacji i monitoruj jej użycie. Skontaktuj się z dostawcą w celu uzyskania poprawki lub rozważ użycie alternatywnego rozwiązania.
Powiązane podatności
- CVE-2026-115931Krytyczne
Postiz pozwala zalogowanemu użytkownikowi na żądanie wykonania funkcji na podłączonym kanale, ale backend nie ograniczał, jakie funkcje mogą być wywołane. Użytkownik mógł wywołać wewnętrzne funkcje pomocnicze, w tym jedną czytającą pliki z dysku serwera (np. plik środowiskowy z sekretem do podpisywania sesji, adres bazy danych i poświadczenia usług) oraz inną powodującą zakończenie procesu backendu. Samorejestracja jest domyślnie otwarta, więc nie jest potrzebne istniejące konto ani działanie innego użytkownika.
- CVE-2026-115893Krytyczne
Wasmtime przed wersjami 36.0.19, 48.0.7 i 49.0.4 posiada błąd w kompilatorze Cranelift na architekturze aarch64. Instrukcja br_table z ponad 256 000 celów może zostać błędnie skompilowana, umożliwiając skok do dowolnego kodu i ucieczkę z sandboxa.
- CVE-2026-115889Krytyczne
Wasmtime przed wersjami 36.0.19 i 43.0.0 ma błąd w kompilatorze Cranelift polegający na cichym przepełnieniu indeksów SSA przy kompilacji dużych funkcji Wasm. Może to prowadzić do błędnej kompilacji, pomieszania typów i ucieczki z sandboxa.
- CVE-2026-115812Krytyczne
Podatność path traversal w procesie rozpakowywania archiwum modelu w AWS Multi Model Server w wersji 1.1.11 i wcześniejszych. Zdalny atakujący może wykorzystać spreparowane archiwum modelu do wykonania dowolnego kodu. Projekt jest wycofany z eksploatacji i nie istnieje poprawiona wersja.
- CVE-2026-55486Krytyczne
W Goobi viewer od wersji 25.08 do przed 26.05 punkty końcowe IIIF Auth 2.0 auth/login i auth/token przyjmują parametr origin bez walidacji, który jest następnie osadzany w nagłówku Content-Security-Policy oraz w treści HTML jako argument postMessage. Ponieważ atakujący kontroluje oba wywołania, nieescapowana wartość prowadzi do odbitego XSS.
- CVE-2026-53942Krytyczne
W repozytorium conda/conda przed commitem 9c0f238 występuje podatność typu GitHub Actions Pwn Request w workflow .github/workflows/update.yml. Wyzwalana jest przez komentarze zawierające @conda-bot render lub @conda-bot recreate, co pozwala niezaufanemu PR na dotarcie do renderowania szablonów Jinja2 w kontekście uprzywilejowanego tokenu.
- CVE-2026-46652Krytyczne
W Goobi viewer od wersji 24.03 do przed 26.05 metoda ExternalFilesDownloader.getFilename() pobiera nazwę pliku z nagłówka Content-Disposition i przekazuje ją bezpośrednio do Path.resolve() bez usuwania komponentów katalogu. Złośliwy serwer HTTP może podać ścieżkę absolutną lub sekwencje ../, zapisując treść w dowolnej lokalizacji, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-46651Krytyczne
W Goobi viewer od wersji 24.03 do przed 26.05 punkt końcowy WebSocket DownloadTaskEndpoint (/tasks/download/monitor.socket) w goobi-viewer-core przyjmuje żądania pobierania od nieuwierzytelnionych użytkowników. Podatność została naprawiona w wersji 26.05.
- CVE-2026-53921Krytyczne
W odhcpd (serwer DHCPv6/DHCPv4/RA w OpenWrt) przed wersją 25.12 występuje przepełnienie bufora stosu (512-bajtowy pdbuf) podczas przetwarzania odpowiedzi IA na pojedynczy pakiet DHCPv6 REQUEST z dużą liczbą opcji IA. Dwa niezależne miejsca przepełnienia są osiągalne przez sieć jednym nieuwierzytelnionym pakietem UDP. odhcpd działa jako root, a urządzenia embedded często nie mają canarków stosu ani ASLR, co czyni wykonanie kodu realnym.
- CVE-2026-114357Krytyczne
W firmware DJI CrystalSky ZS600C w wersjach v0.3.9.7–v0.6.6.9 demon Android Debug Bridge (adbd) nie wymaga uwierzytelnienia dla krytycznej funkcji. Urządzenie ma ro.adb.secure=0 i domyślnie włączony ADB przez USB; po włączeniu ADB przez TCP ten sam nieuwierzytelniony shell (uid 2000) jest osiągalny sieciowo. Stanowi to punkt wyjścia do eskalacji uprawnień do roota.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in storyicon comfyui_segment_anything up to ab6395596399d5048639cdab7e44ec9fae857a93. Affected by this issue is the function SLConfig._file2dict of the file local_groundingdino/util/slconfig.py of the component GroundingDINO Model Loading. Such manipulation of the argument config leads to code injection. It is possible to launch the attack remotely. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS