CVE-2026-116389
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Phoenix Media Rename w wersjach do 3.13.5 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).
Ocena ryzyka
Możliwe jest wstrzyknięcie obiektów przez niezaufane dane, co może prowadzić do wykonania niepożądanych działań w kontekście aplikacji WordPress.
Rekomendacja
Zaktualizuj wtyczkę Phoenix Media Rename do wersji nowszej niż 3.13.5, zawierającej poprawkę deserializacji.
Powiązane podatności
- CVE-2026-121609Krytyczne
W routerze Qihoo 360 Whole Home Router M5 w wersji 4.0.17.1566 wykryto podatność w skrypcie startowym /etc/init.d/mpt (funkcja Home). Problem polega na użyciu zaszytych na stałe danych uwierzytelniających. Exploit jest publicznie dostępny i może zostać wykorzystany zdalnie.
- CVE-2026-121607Krytyczne
W urządzeniach Qihoo 360 D603-2, D600-2, D606-6 i D706 do wersji 6.4.9 wykryto podatność w funkcji testspeed_command pliku /fs2/bin/iscm. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121606Krytyczne
W urządzeniach Qihoo 360 (modele D621-2, D603-2, D600-2, D619, D606-6 i D706 do wersji 6.4.9) wykryto podatność w funkcji verify_sign pliku fs2/bin/iscm odpowiedzialnej za weryfikację podpisów firmware. Manipulacja argumentem sign prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121600Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji setMacFilterRules pliku /cgi-bin/cstecgi.cgi obsługującej filtr MAC. Manipulacja argumentem addEffect powoduje przepełnienie bufora na stosie. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121599Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcjach setWiFiMultipleConfig/delWiFiMultipleConfig pliku /cgi-bin/cstecgi.cgi obsługujących konfigurację Multi-SSID. Manipulacja argumentami wepkey2/wepkey3 powoduje przepełnienie bufora na stosie. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121598Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji strcpy pliku /cgi-bin/cstecgi.cgi obsługującej podstawową konfigurację sieci bezprzewodowej. Manipulacja argumentem wepkey prowadzi do przepełnienia bufora na stosie. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-92190Krytyczne
W Quest Foglight for Databases występuje luka w mechanizmie deserializacji niezaufanych danych w komponencie baseRmiServiceExporter. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-92189Krytyczne
W Quest Foglight for Databases metoda writeTopologySectionToFile nie waliduje ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-92188Krytyczne
Moduł ForgeMBeanServerSupport w Quest Foglight for Databases nie wymaga uwierzytelnienia przed udostępnieniem funkcjonalności. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-121597Krytyczne
W TOTOLINK A950RG wersja 4.1.2cu.5268_B20221104 funkcja setAppEasyWizardConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argument functionType, co prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in crossi72 Phoenix Media Rename phoenix-media-rename allows Object Injection.This issue affects Phoenix Media Rename: from n/a through 3.13.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS