CVE-2026-11826
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność przepełnienia bufora na stercie w funkcji getData() w OpenPLC_v3 (webserver/core/modbus_master.cpp). Funkcja odczytuje dane między ogranicznikami do bufora bez sprawdzania rozmiaru, co pozwala uwierzytelnionemu atakującemu na wysłanie spreparowanego żądania HTTP do /modbus z nadmiernie długim device_name, powodując przepełnienie i uszkodzenie sterty.
Ocena ryzyka
Atak może doprowadzić do awarii procesu PLC (odmowa usługi) oraz potencjalnie do nadpisania sąsiednich pól konfiguracyjnych, co zagraża stabilności i bezpieczeństwu sterowania procesami przemysłowymi.
Rekomendacja
Należy przejść na OpenPLC Runtime v4, ponieważ wersja v3 nie otrzyma łatki (repozytorium zarchiwizowane). Ograniczyć dostęp do interfejsu webowego tylko dla zaufanych użytkowników.
Powiązane podatności
- CVE-2026-9055Krytyczne
Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) dla WordPressa w wersjach 8.0 - 9.6.2 jest podatna na eskalację uprawnień z powodu niewystarczającej walidacji parametru 'type' w punkcie końcowym aktualizacji klienta. Umożliwia to klientom ustawienie swojej roli na 'manager' i utworzenie użytkownika WordPressa z rolą wpamelia-manager, gdy parametr 'externalId' jest ustawiony na 0. Nieuwierzytelnieni atakujący mogą eskalować swoje uprawnienia do administratora, najpierw podnosząc się do roli menedżera, a następnie tworząc encję dostawcy powiązaną z ID administratora i nadpisując hasło administratora.
- CVE-2026-84699Krytyczne
Team Password Manager przed wersją 14.184.308 nie egzekwuje wymagań uwierzytelniania w procesie resetowania hasła konta lokalnego. Nieuwierzytelnieni atakujący mogą resetować hasła kont lokalnych i uwierzytelniać się jako ci użytkownicy, uzyskując nieautoryzowany dostęp.
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
- CVE-2026-84372Krytyczne
Predis, klient Redis i Valkey dla PHP, w wersjach od 3.0.0-RC1 do 3.3.0, nieprawidłowo przetwarza bufor RESP w połączeniach agregacyjnych, co pozwala atakującemu na wstrzyknięcie dodatkowych komend przez klucze lub wartości zawierające CRLF. Może to prowadzić do usunięcia danych w całym shardzie, modyfikacji danych, odczytu danych lub zakłócenia działania węzłów. Problem dotyczy tylko metody pipeline(), a transakcje nie są podatne. Luka została naprawiona w wersji 3.3.0.
- CVE-2026-75604Krytyczne
Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.
- CVE-2023-54391Krytyczne
Proxmox Virtual Environment (VE) w wersjach od 7.0 do 8.0 zawiera podatność na obejście uwierzytelniania w libpve-access-control przed 8.0.4, która pozwala nieuwierzytelnionym atakującym na zalogowanie się jako dowolny istniejący użytkownik bez skonfigurowanego drugiego czynnika, poprzez podanie dowolnej wartości tfa-challenge w API logowania. Atakujący może całkowicie pominąć weryfikację hasła, uzyskując nieautoryzowany dostęp, w tym do konta root@pam. Wszystkie dotknięte wersje są już nie wspierane.
- CVE-2026-73749Krytyczne
W demonie AOS-CX istnieje wiele podatności umożliwiających nieprawidłowe przetwarzanie źle sformułowanych danych wejściowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te luki, wysyłając specjalnie spreparowane pakiety do usługi. Skuteczna eksploitacja może prowadzić do zdalnego wykonania kodu z podwyższonymi uprawnieniami.
- CVE-2026-76658Krytyczne
W demonie SSH HPE Networking Fabric Composer wykryto podatność, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uzyskanie administracyjnego dostępu do podatnych hostów AFC. Skuteczna eksploitacja może umożliwić atakującemu wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym, prowadząc do całkowitej kompromitacji systemu.
- CVE-2026-76657Krytyczne
W API HPE Networking Fabric Composer wykryto podatności, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Skuteczna eksploitacja może umożliwić atakującemu uzyskanie uprawnień administracyjnych, prowadząc do całkowitej kompromitacji hosta Fabric Composer.
Oryginalny opis (angielski, źródło NVD)
OpenPLC_v3 contains a heap-based buffer overflow in the getData() function in webserver/core/modbus_master.cpp. getData() reads characters between two delimiters into a caller-supplied buffer with no size parameter and no bounds check. In parseConfig() the function is invoked with the 100-byte heap-allocated MB_device.dev_name field. An authenticated attacker with access to the OpenPLC web interface can send a crafted HTTP POST to the /modbus endpoint with an oversized device_name value; the value is persisted to mbconfig.cfg and parsed on load, overflowing dev_name and overwriting adjacent struct fields (protocol at offset 108, dev_address at offset 109, ip_port at offset 210). A 200-byte payload writes 100 bytes past the allocation. The result is heap corruption leading to runtime crash and denial of service of the PLC process control loop, with attacker-controlled overwrite of adjacent configuration fields. The upstream repository was archived on 2026-04-04 and no fix is expected; the vendor has confirmed the issue does not affect OpenPLC Runtime v4.