CVE-2026-112005
WysokieCVSS 7.7Streszczenie
WhoDB w wersjach od 0.104.0 do 0.135.0 zawiera podatność path traversal, która pozwala zdalnym atakującym odczytywać i zapisywać dowolne pliki hosta poprzez uruchamianie funkcji systemu plików DuckDB w edytorze zapytań. Atakujący mogą zalogować się do pliku DuckDB bez poświadczeń i użyć funkcji read_text, read_blob, COPY ... TO lub ATTACH, aby wykraść session.key i zapisane poświadczenia bazy danych albo nadpisać pliki.
Ocena ryzyka
Atakujący może uzyskać dostęp do kluczy sesji i poświadczeń baz danych oraz modyfikować pliki na serwerze, co prowadzi do pełnego przejęcia kontroli nad aplikacją i danymi.
Rekomendacja
Zaktualizuj WhoDB do wersji 0.135.0 lub nowszej, a jeśli to niemożliwe, ogranicz dostęp do edytora zapytań i funkcji systemu plików DuckDB oraz zabezpiecz pliki konfiguracyjne i klucze sesji.
Powiązane podatności
- CVE-2026-78162Krytyczne
Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-110887Krytyczne
Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.
- CVE-2026-103091Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.
- CVE-2026-102503Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.
- CVE-2026-108983Krytyczne
W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.
- CVE-2026-111998Krytyczne
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.
- CVE-2026-110886Krytyczne
Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.
- CVE-2026-110372Krytyczne
Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
- CVE-2026-109894Krytyczne
Wtyczka Booktics (do wersji 1.0.29) jest podatna na wstrzyknięcie SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykonać dowolne zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
WhoDB 0.104.0 before 0.135.0 contains a path traversal vulnerability that allows remote attackers to read and write arbitrary host files by running DuckDB filesystem functions through the query editor. Attackers can log in to a DuckDB file without credentials and use read_text, read_blob, COPY ... TO or ATTACH to steal session.key and stored database credentials or overwrite files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS