CVE-2026-111313
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
JobOps do wersji 0.13.1 zawiera lukę SSRF w handlerze POST /api/manual-jobs/fetch, która pozwala uwierzytelnionym użytkownikom lub nieuwierzytelnionym klientom w trybie demo zmusić serwer do pobierania wewnętrznych zasobów. Atakujący mogą podać adresy loopback, prywatne lub metadanych chmury w polu url, aby odczytać zwróconą treść strony, ujawniając metadane instancji i dane usług wewnętrznych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług i metadanych chmury, co prowadzi do wycieku informacji o infrastrukturze. W trybie demo luka jest dostępna bez uwierzytelnienia, co zwiększa ryzyko.
Rekomendacja
Zaktualizuj JobOps do wersji nowszej niż 0.13.1, jeśli jest dostępna, oraz waliduj pole url, blokując adresy loopback, prywatne i metadanych. Wyłącz tryb demo w środowisku produkcyjnym i ogranicz uprawnienia sieciowe serwera.
Powiązane podatności
- CVE-2026-111472Krytyczne
W oprogramowaniu TSG Profleet wykryto podatność na wstrzyknięcie SQL. Atakujący może odczytywać, tworzyć, modyfikować i usuwać dane z bazy danych, wysyłając żądanie GET z parametrem 'Identificación' do endpointu '/cgi-bin/index.php'.
- CVE-2026-94388Krytyczne
Wtyczka Green Popups (halfdata-green-popups) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność umożliwia atakującemu przeprowadzenie ślepego wstrzyknięcia SQL.
- CVE-2026-94169Krytyczne
Wtyczka The Grid (the-grid) zawiera podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Podatność umożliwia atakującemu wstrzyknięcie i wykonanie dowolnych poleceń.
- CVE-2026-104730Krytyczne
Wtyczka Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 3.7.4 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, jednak bez łańcucha POP w podatnej wtyczce nie ma to bezpośredniego wpływu.
- CVE-2026-89079Krytyczne
Wtyczka Theme My Login dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 7.2.1 włącznie. Wynika to z braku właściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła, co umożliwia nieuwierzytelnionym atakującym zmianę haseł dowolnych użytkowników w konfiguracjach multi-site.
- CVE-2026-103768Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.
- CVE-2026-109515Krytyczne
Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().
- CVE-2026-109219Krytyczne
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-111444Krytyczne
Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.
Oryginalny opis (angielski, źródło NVD)
JobOps through 0.13.1 contains a server-side request forgery vulnerability in the POST /api/manual-jobs/fetch handler that allows authenticated users, or unauthenticated clients in demo mode, to make the server fetch internal destinations. Attackers can supply loopback, private, or cloud metadata addresses in the url field to read returned page content, disclosing instance metadata and internal service data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS