CVE-2026-12383
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Serwer Event-Driven Ansible (EDA) ma podatność w widoku ExternalEventStreamViewSet, który używa permissywnych kontroli dostępu i polega na nagłówku Subject HTTP do uwierzytelniania mTLS bez weryfikacji pochodzenia z zaufanego proxy. Atakujący może wstrzykiwać zdarzenia do strumieni chronionych mTLS.
Ocena ryzyka
Atakujący może wywołać nieautoryzowane akcje automatyzacji Ansible, potencjalnie zakłócając działanie infrastruktury IT.
Rekomendacja
Zaktualizuj serwer EDA do wersji z poprawionymi kontrolami dostępu i weryfikacją nagłówka Subject.
Powiązane podatności
- CVE-2026-82616Krytyczne
W routerze TOTOLINK NR1800X w wersji 9.1.0u.6681_B20230703 znaleziono podatność w funkcji setUploadSetting pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem FileName powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-77956Krytyczne
W bibliotece ash_ai projektu ash-project wykryto podatność polegającą na niekontrolowanym generowaniu kodu (Code Injection). Zdalny, nieuwierzytelniony klient może wykonać dowolny kod Elixir, ponieważ funkcja AshAi.Actions.Prompt ocenia treść promptu przez EEx.eval_string/2. Treść promptu może zawierać dane od atakującego, które są kompilowane i wykonywane jako szablon EEx, np. <%= System.cmd(...) %>. Podatność dotyczy wersji od 0.1.0 przed 1.0.0.
- CVE-2026-82593Krytyczne
W routerze D-Link DIR-825M w wersji 1.1.8 znaleziono podatność w funkcji sub_41802C pliku /boafrm/formLtefotaUpgradeFibocom, dotyczącą aktualizacji oprogramowania modułu LTE. Manipulacja argumentem fota_url powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82592Krytyczne
Wykryto podatność w routerze D-Link DIR-825M w wersji 1.1.8. Dotyczy ona funkcji sub_46725C w pliku /boafrm/formDiskFormat w komponencie Disk Formatting Handler Endpoint. Manipulacja argumentem partition prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-82542Krytyczne
Podatność w Tenda HG10 300001138 dotyczy funkcji formIPv6Routing w pliku /boaform/admin/formIPv6Routing w komponencie Boa Web Server. Manipulacja argumentem destNet powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82539Krytyczne
W TOTOLINK A720R w wersji 4.1.5cu.630_B20250509 wykryto podatność w funkcji setMacFilterRules pliku cstecgi.cgi komponentu MAC Filtering. Manipulacja argumentem desc może prowadzić do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Event-Driven Ansible (EDA) server. The ExternalEventStreamViewSet uses permissive access controls (permission_classes=[AllowAny], authentication_classes=[]) and relies solely on the Subject HTTP header value for mTLS authentication without verifying that the header originated from a trusted proxy. Additionally, the expected certificate Distinguished Name is leaked in the 403 error response body. An attacker who can reach the EDA API endpoint with a spoofed Subject header can inject arbitrary events into mTLS-protected event streams, triggering downstream automation actions.