CVE-2026-110772
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Sure w wersjach od 0.7.0 do 0.7.6-alpha.6 zawiera lukę braku autoryzacji w Transactions::BulkUpdatesController#create, która pozwala członkom rodziny obejść uprawnienia do udostępniania konta. Uwierzytelnieni członkowie z uprawnieniami read_only lub bez udostępniania mogą przesłać dowolne entry_ids, aby zmodyfikować daty, nazwy, notatki, kategorie, sprzedawców i tagi transakcji innych członków, psując budżety i raporty.
Ocena ryzyka
Członek rodziny bez uprawnień do edycji może modyfikować transakcje innych osób, co prowadzi do zniekształcenia danych finansowych, budżetów i raportów.
Rekomendacja
Zaktualizuj Sure do wersji nowszej niż 0.7.6-alpha.6, gdy będzie dostępna, a do tego czasu ogranicz dostęp do endpointu masowych aktualizacji transakcji.
Powiązane podatności
- CVE-2026-104736Krytyczne
Wtyczka LearnPress dla WordPressa w wersjach do 4.4.10 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych z parametru 'checkout-email' w akcji AJAX podczas finalizacji zamówienia. Wartość przechodzi przez sanitize_text_field(), które nie usuwa składni serializowanego obiektu, jest zapisywana w tabeli sesji LearnPress, a następnie przekazywana do unserialize() bez ograniczenia allowed_classes.
- CVE-2026-110653Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.4 włącznie jest podatna na obejście uwierzytelniania poprzez warunek wyścigu (race condition) w funkcji verifyOTP. Licznik prób weryfikacji OTP jest aktualizowany nieatomowo, bez warunku WHERE attempts < 10 i bez blokady wiersza, co tworzy okno TOCTOU pozwalające równoległym żądaniom obejść limit 10 prób.
- CVE-2026-111823Krytyczne
Mage OSS w wersjach do 0.9.80 (przed commitem 76c4f46) może kontynuować tworzenie sesji po napotkaniu nieznanego dostawcy OAuth. Nieznany dostawca OAuth nie jest prawidłowo odrzucany, co pozwala na utworzenie sesji.
- CVE-2026-96620Krytyczne
Claude Agent SDK to zestaw SDK w języku Python dla Claude Code. W wersjach przed 0.2.121 opcja resume jest przekazywana do Claude CLI jako osobny token bez walidacji, więc wartość zaczynająca się od myślnika jest interpretowana jako niezależna flaga CLI. Atakujący może wstrzyknąć flagę --mcp-config, aby zdefiniować serwer MCP typu stdio, co powoduje wykonanie dowolnych poleceń przy starcie CLI poza kontrolami uprawnień SDK.
- CVE-2026-102608Krytyczne
ZoneMinder to darmowe, otwartoźródłowe oprogramowanie do monitoringu CCTV. W wersjach przed 1.38.3 funkcja downloadEvents() ręcznie otacza wartość Name monitora pojedynczymi cudzysłowami zamiast używać escapeshellarg() przed umieszczeniem jej w poleceniach powłoki, gdy użytkownik z uprawnieniami monitor-create lub monitor-edit zapisze nazwę monitora zawierającą metaznaki powłoki, a użytkownik z uprawnieniem Events View wyeksportuje zdarzenia tego monitora. W tym mechanizmie ataku zapisana nazwa monitora trafia zarówno do polecenia konkatenacji ffmpeg, jak i do polecenia archiwizacji tar lub zip, i wydostaje się z ręcznego cytowania. Dowolne polecenia są wykonywane jako użytkownik serwera WWW.
- CVE-2026-111711Krytyczne
Netcore NR256CN do wersji 1.5.140116 zawiera podatność na przepełnienie stosu przed uwierzytelnieniem w funkcji user_ok() serwera Boa, która kopiuje nazwy użytkowników Basic-auth za pomocą nieograniczonych wywołań strcpy() do 64-bajtowych buforów stosu. Nieuwierzytelnieni atakujący mogą wysłać nazwę użytkownika dłuższą niż 63 bajty do dowolnej chronionej trasy /router/*.cgi, aby zawiesić główny proces Boa lub potencjalnie wykonać kod.
- CVE-2026-111708Krytyczne
WhaTicket Community do commita cf04795 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na samodzielną rejestrację jako administratorzy poprzez POST /auth/signup. Atakujący mogą pominąć pole profile lub ustawić je na admin, uzyskując zarządzanie użytkownikami, ustawieniami oraz dostęp do wszystkich zgłoszeń, kontaktów, wiadomości i połączeń WhatsApp.
- CVE-2026-111704Krytyczne
LangChat do commita 2a6285a zawiera podatność na brak uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do kontrolerów REST, ponieważ nie zarejestrowano interceptora Sa-Token. Atakujący mogą odpytywać /api/v1/auth/users, aby odczytać hasła w postaci jawnej, uzyskać klucze API dostawców LLM, tworzyć konta superadministratora oraz modyfikować lub usuwać dane.
- CVE-2026-111693Krytyczne
DataBuff ai-apm-web do wersji 0.1.10 zawiera podatność na wbudowane domyślne poświadczenia, która pozwala nieuwierzytelnionym atakującym na uzyskanie dostępu administratora przy użyciu wbudowanego konta admin/Databuff@123. Atakujący mogą wysłać te poświadczenia metodą POST do /webapi/api/v1/auth/login, aby uzyskać token administratora i dostęp do wszystkich chronionych tras /webapi.
- CVE-2026-111692Krytyczne
DataBuff ai-apm-web do wersji 0.1.10 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na fałszowanie tokenów sesji administratora przy użyciu zakodowanego na stałe sekretu HMAC w JwtTokenService. Atakujący mogą podpisać ładunek admin i przyszłą datę wygaśnięcia domyślnym dev-secret, aby uzyskać pełny dostęp administracyjny do chronionych tras /webapi, w tym do API zapytań Doris SQL.
Oryginalny opis (angielski, źródło NVD)
Sure 0.7.0 through 0.7.6-alpha.6 contains a missing authorization vulnerability in Transactions::BulkUpdatesController#create that allows family members to bypass account sharing permissions. Authenticated members with read_only or no share can submit arbitrary entry_ids to modify other members' transaction dates, names, notes, categories, merchants and tags, corrupting budgets and reports.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS