CVE-2026-118538

W a2ui do wersji 0.10.4 wykryto podatność w nieznanym kodzie pliku src/v0_9/basic_catalog/components/Image.js komponentu Image Player/Video Player/Audio Player. Manipulacja argumentem url prowadzi do niewłaściwej walidacji danych wejściowych, a atak można zainicjować zdalnie; pull request z poprawką oczekuje na akceptację.

W projekcie a2ui w wersjach do 0.10.6 wykryto podatność w funkcji formatString w pliku expression_parser.ts komponentu Parser. Manipulacja powoduje zużycie zasobów, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony, a poprawka jest dostępna pod nazwą 1f71d1aac1b145ef57c7526f9e0cff316f5934e2.

W projekcie a2ui w wersjach do 0.10.6 wykryto podatność w funkcji DataContext.resolveSignal w pliku data-context.ts komponentu Resolver. Manipulacja prowadzi do zużycia zasobów, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a poprawka jest dostępna pod identyfikatorem c76e17272e52c12c6dcf68905b1df978c39e9aa5.

W a2ui do wersji 0.10.6 występuje podatność w nieznanej funkcjonalności pliku renderers/web_core/src/v0_9/rendering/generic-binder.ts komponentu Binder, prowadząca do wyczerpania zasobów. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W a2ui do wersji 0.10.6 występuje podatność w funkcji DataModel.set pliku renderers/web_core/src/v0_9/state/data-model.ts, prowadząca do wyczerpania zasobów. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja DataContext.dispatchExpressionError w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent Error Handler) ujawnia informacje poprzez komunikaty błędów. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny; poprawka ma nazwę 8f149a1c7b0ce1fa8e93ac3adfa5fda960faeb01.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent data-context Resolver) pozwala na zużycie zasobów. Atak można przeprowadzić zdalnie, a publiczny exploit został ujawniony; poprawka ma nazwę eb314e14fabd29cfb4a74e1202afc4fe2081efa2.

Zidentyfikowano podatność w projekcie a2ui-project a2ui w wersjach 0.8/0.9/1.0. Dotyczy ona nieznanej funkcji w pliku model-processor.ts komponentu Model Processor. Manipulacja argumentem current[segment] prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Identyfikator poprawki to 1b3bff234661ce922cbc3771be642b23ec9fd0fa. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Wykryto podatność w projekcie a2ui-project a2ui w wersjach 0.9/0.9.1. Problem dotyczy funkcji updateComponents w pliku basic_functions.ts komponentu Update Components. Wykonanie manipulacji może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzyknięcie komend w punkcie końcowym /index.php/ajax/get_iodd_port_info, używając poświadczeń użytkownika lub operatora, co pozwala na wykonanie komend z uprawnieniami roota na urządzeniu.