CVE-2026-114358

W FUXA (wersja 1.3.2-2809) występuje luka polegająca na obejściu autoryzacji w funkcjonalności /nodered. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu, a atakujący może je wysłać bez uwierzytelnienia.

Wtyczka Bot for Telegram on WooCommerce (do wersji 1.3.0) jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta. Endpoint REST /wp-json/woo-telegram/v1/main/ nie weryfikuje podpisu webhooka i pozwala nieuwierzytelnionemu atakującemu na podszycie się pod dowolnego użytkownika WordPress, w tym administratora, znając jedynie jego nazwę logowania.

W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.

W D-Link DIR-505 1.10B02 w funkcji main pliku /secmark1524.cgi komponentu Web Management CGI manipulacja argumentami accu/pass/code/hash/cmds prowadzi do backdoora. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W AVideo przed wersją 8.1.0 endpoint streamingu `view/videosListToLive.php` ufa danym zwróconym przez atakującego w `webSiteRootURL` i traktuje je jako stan sesji, pozwalając nieuwierzytelnionemu atakującemu na samodzielne przyznanie sobie uprawnień `isLogged` i `canStream`. Ścieżki z listy wideo są wstawiane bez escapowania do poleceń `ffprobe` i `ffmpeg` wykonywanych przez `exec`, co umożliwia wstrzyknięcie poleceń systemowych. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 nieuwierzytelniony endpoint instalatora `install/checkConfiguration.php` buduje plik `videos/configuration.php`, wstawiając parametry żądania, w tym `webSiteRootURL`, do literałów PHP w pojedynczych cudzysłowach bez escapowania. Atakujący może zamknąć literał i wstrzyknąć kod PHP wykonywany jako użytkownik serwera WWW. Wymagane jest, aby plik `videos/configuration.php` nie istniał, a parametry bazy mogły wskazywać na serwer atakującego. Luka jest naprawiona w wersji 8.1.0.

Signal K Server przed wersją 2.33.0 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym pobierać archiwa logów przez endpoint `/skServer/ziplogs`. Atakujący mogą wyodrębnić `secretKey` JWT z `security.json` w pliku ZIP, sfałszować tokeny administratora i utworzyć trwałe konta administracyjne. Luka jest naprawiona w wersji 2.33.0.

W FearlessCMS przed wersją 0.1.4 pięć skryptów debug/test w katalogu admin/ wykonuje uprzywilejowane operacje bez uwierzytelnienia, ochrony CSRF i odpowiedniej walidacji ścieżek. Na wbudowanym serwerze PHP (w tym w domyślnym wdrożeniu Docker) można obejść bramkę logowania przez /./admin/ i uzyskać zapis plików .md, odczyt katalogów, XSS oraz wyczerpanie dysku.

W ai-gateway-payload-processing uwierzytelniony zdalny atakujący może podać w treści żądania lub nagłówku identyfikator modelu innego najemcy. Usługa nie weryfikuje autoryzacji przed pobraniem poświadczeń ze wspólnego magazynu, więc wstrzykuje klucze API docelowego najemcy do żądania.

W frameworku Echo (Go) od wersji 4.0.0 do 4.16.1 oraz w wersji 5.4.1 middleware Proxy wybiera surowy tunel z żądania WebSocket klienta przed weryfikacją, czy skonfigurowany upstream zaakceptował upgrade. Jeśli upstream odrzuci upgrade zwykłą odpowiedzią keep-alive, kolejne żądania HTTP na tym połączeniu trafiają bezpośrednio do upstreamu z pominięciem routera Echo i middleware tras. Może to obejść uwierzytelnianie lub autoryzację egzekwowane wyłącznie przez trasy Echo.