CVE-2026-113703
KrytyczneCVSS 9.3Streszczenie
SuggestArr przed wersją 3.0.0 zawiera podatność obejścia uwierzytelniania w trybie local_bypass, gdzie funkcja enforce_authentication() w api_service/auth/middleware.py ufa wartości request.remote_addr kontrolowanej przez klienta, pochodzącej z nagłówka X-Forwarded-For możliwego do podszycia z powodu konfiguracji ProxyFix(x_for=1). Atakujący może wysłać żądanie z X-Forwarded-For ustawionym na zaufany adres CIDR, taki jak 127.0.0.1, aby uzyskać nieuwierzytelnioną sesję administratora.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp administracyjny do endpointów takich jak /api/users i /api/jobs bez podawania poświadczeń. Stanowi to krytyczne ryzyko przejęcia kontroli nad aplikacją.
Rekomendacja
Należy zaktualizować SuggestArr do wersji 3.0.0 lub nowszej oraz zweryfikować konfigurację ProxyFix i nagłówków X-Forwarded-For.
Powiązane podatności
- CVE-2026-93475Krytyczne
Parser X.509 w NetX Secure akceptuje klucz publiczny RSA o dowolnym rozmiarze, ale ścieżki weryfikacji podpisu odszyfrowują dane do buforów o stałym rozmiarze dostosowanych do domyślnego NX_CRYPTO_MAX_RSA_MODULUS_SIZE wynoszącego 4096 bitów. Certyfikat z większym modułem powoduje zapis poza zakresem bufora statycznego podczas zwykłej weryfikacji łańcucha certyfikatów, co jest osiągalne przed uwierzytelnieniem.
- CVE-2026-86471Krytyczne
Niezwalidowana wartość konfiguracji runtime w Apache CouchDB 3.5.2 i starszych na wszystkich platformach pozwala administratorowi serwera CouchDB na uruchamianie dowolnych poleceń powłoki jako użytkownik systemu operacyjnego CouchDB.
- CVE-2026-113678Krytyczne
Froxlor przed wersją 2.3.15 zawiera podatność podążania za symlinkami w Statistics::makeChownWithNewStats, która pozwala uwierzytelnionym klientom przejąć własność dowolnych katalogów hosta poprzez nadużycie uruchamianego jako root crona ruchu. Atakujący może zastąpić katalog statystyk goaccess w swoim document root symlinkiem, powodując, że chown -R przekaże im drzewa katalogów należące do roota.
- CVE-2026-103119Krytyczne
Podatność polegająca na niedoczytaniu bufora w Apache Tomcat powoduje, że duży zapis nieblokujący może spowodować podział treści odpowiedzi między bieżące żądanie a następne żądanie odebrane na tym samym połączeniu, co najprawdopodobniej prowadzi do błędu drugiego żądania i możliwego wycieku danych z pierwszej odpowiedzi do drugiej.
- CVE-2026-113620Krytyczne
W Eclipse ioFog Controller w wersjach 3.8.0 do 3.9.1 aktualizacje WebSocket operatora na trasach exec i log nie weryfikują tokenu JWT bearer. Ładunek jest dekodowany, a jego grupy lub role są używane jako podmioty RBAC. Samodzielnie wygenerowany token, którego grupy zawierają admin, pasuje do wbudowanej roli administratora bez konta i bez RoleBinding.
- CVE-2026-113391Krytyczne
W DrayTek Vigor2960 1.5.1.6 Revision 8218 funkcja uploadlangs w pliku /cgi-bin/mainfunction.cgi komponentu Upload Endpoint pozwala na wstrzyknięcie poleceń. Atak można wykonać zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2026-113390Krytyczne
W DrayTek Vigor2960 1.5.1.6 Revision 8218 funkcja sub_182B0 w pliku /cgi-bin/mainfunction.cgi komponentu CGI Interface pozwala na wstrzyknięcie poleceń systemowych poprzez manipulację argumentem usefile/usescript/option. Zdalne wykorzystanie jest możliwe, a exploit został opublikowany i może być użyty.
- CVE-2026-113389Krytyczne
W DrayTek Vigor2960 1.5.1.6 Revision 8218 funkcja set_table w pliku /cgi-bin/mainfunction.cgi komponentu CGI Process pozwala na wstrzyknięcie poleceń poprzez manipulację argumentem sectiontype. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być użyty.
- CVE-2026-105312Krytyczne
W Kubernetes tenant posiadający uprawnienie create na zasobach Console może ustawić spec.containers.api.spec.image na dowolny obraz kontenera. Operator wdraża ten obraz do poda, którego ServiceAccount jest powiązany przez ClusterRoleBinding z ClusterRole przyznającym szerokie uprawnienia do CRD Strimzi oraz widok monitoringu klastra. Kod atakującego odczytuje token SA i uzyskuje między-tenantowy dostęp odczytu i zapisu do płaszczyzny kontrolnej Strimzi.
- CVE-2026-9589Krytyczne
Brak autoryzacji w operacjach kaskadowej konfiguracji Collaboration Server w Unblu Spark 7.0 do 8.36.1-hotfix.0 (on-premises i chmura). Uwierzytelniony zdalny atakujący może odczytywać i zmieniać właściwości konfiguracji encji, do których nie ma uprawnień, w tym innych użytkowników, kont, a w Unblu Cloud także kont innych klientów.
Oryginalny opis (angielski, źródło NVD)
SuggestArr before 3.0.0 contains an authentication bypass vulnerability in its local_bypass authentication mode where enforce_authentication() in api_service/auth/middleware.py trusts the client-controlled request.remote_addr value, which is derived from the spoofable X-Forwarded-For header due to ProxyFix(x_for=1) configuration in api_service/app.py. Attackers can send a request with X-Forwarded-For set to a trusted CIDR address such as 127.0.0.1 to be granted an unauthenticated admin session via _load_bypass_user_context(), gaining full administrative access to endpoints like /api/users and /api/jobs without providing any credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS