CVE-2026-111695
WysokieCVSS 7.1Streszczenie
Shaiwz data-platform-open do commita efeacd3 zawiera lukę niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym członkom workspace na dostęp do źródeł danych innych workspace'ów poprzez numeryczny identyfikator. Atakujący może wysyłać obce sekwencyjne identyfikatory do /datasource/detail, /listSchemaTable, /tableDetail, /update lub /delete, aby uzyskać poświadczenia JDBC, wyliczyć schematy baz danych oraz modyfikować lub usuwać źródła danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do poświadczeń JDBC i schematów baz danych innych workspace'ów oraz modyfikować lub usuwać ich źródła danych. Prowadzi to do wycieku danych i potencjalnej utraty integralności systemów.
Rekomendacja
Zaktualizuj Shaiwz data-platform-open do wersji zawierającej poprawkę lub wdroż kontrolę dostępu weryfikującą przynależność zasobu do workspace użytkownika. Sprawdź, czy nie doszło do nieautoryzowanego dostępu do źródeł danych.
Powiązane podatności
- CVE-2026-78162Krytyczne
Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-110887Krytyczne
Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.
- CVE-2026-103091Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.
- CVE-2026-102503Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.
- CVE-2026-108983Krytyczne
W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.
- CVE-2026-111998Krytyczne
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.
- CVE-2026-110886Krytyczne
Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.
- CVE-2026-110372Krytyczne
Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
- CVE-2026-109894Krytyczne
Wtyczka Booktics (do wersji 1.0.29) jest podatna na wstrzyknięcie SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykonać dowolne zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Shaiwz data-platform-open through commit efeacd3 contains an insecure direct object reference vulnerability that allows authenticated workspace members to access other workspaces' datasources by numeric id. Attackers can send foreign sequential ids to /datasource/detail, /listSchemaTable, /tableDetail, /update or /delete to obtain JDBC credentials, enumerate database schemas, and modify or delete datasources.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS