CVE-2026-14359
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka YITH WooCommerce Waitlist Premium dla WordPressa do wersji 3.35.0 włącznie jest podatna na eskalację uprawnień. Funkcja add_user_in_waiting_list() nie sprawdza uprawnień ani nonce, a użycie parse_str() i extract() pozwala atakującym z dostępem na poziomie Subscriber na utworzenie konta administratora i przypisanie mu roli administratora.
Ocena ryzyka
Uwierzytelnieni atakujący z niskimi uprawnieniami mogą uzyskać pełną kontrolę nad witryną, tworząc konta administratora.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.35.0, która zawiera poprawkę zabezpieczającą przed eskalacją uprawnień.
Powiązane podatności
- CVE-2026-61567Krytyczne
W AVideo przed wersją 8.1.0 endpoint streamingu `view/videosListToLive.php` ufa danym zwróconym przez atakującego w `webSiteRootURL` i traktuje je jako stan sesji, pozwalając nieuwierzytelnionemu atakującemu na samodzielne przyznanie sobie uprawnień `isLogged` i `canStream`. Ścieżki z listy wideo są wstawiane bez escapowania do poleceń `ffprobe` i `ffmpeg` wykonywanych przez `exec`, co umożliwia wstrzyknięcie poleceń systemowych. Luka jest naprawiona w wersji 8.1.0.
- CVE-2026-61564Krytyczne
W AVideo przed wersją 8.1.0 nieuwierzytelniony endpoint instalatora `install/checkConfiguration.php` buduje plik `videos/configuration.php`, wstawiając parametry żądania, w tym `webSiteRootURL`, do literałów PHP w pojedynczych cudzysłowach bez escapowania. Atakujący może zamknąć literał i wstrzyknąć kod PHP wykonywany jako użytkownik serwera WWW. Wymagane jest, aby plik `videos/configuration.php` nie istniał, a parametry bazy mogły wskazywać na serwer atakującego. Luka jest naprawiona w wersji 8.1.0.
- CVE-2026-118690Krytyczne
Signal K Server przed wersją 2.33.0 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym pobierać archiwa logów przez endpoint `/skServer/ziplogs`. Atakujący mogą wyodrębnić `secretKey` JWT z `security.json` w pliku ZIP, sfałszować tokeny administratora i utworzyć trwałe konta administracyjne. Luka jest naprawiona w wersji 2.33.0.
- CVE-2026-63190Krytyczne
W FearlessCMS przed wersją 0.1.4 pięć skryptów debug/test w katalogu admin/ wykonuje uprzywilejowane operacje bez uwierzytelnienia, ochrony CSRF i odpowiedniej walidacji ścieżek. Na wbudowanym serwerze PHP (w tym w domyślnym wdrożeniu Docker) można obejść bramkę logowania przez /./admin/ i uzyskać zapis plików .md, odczyt katalogów, XSS oraz wyczerpanie dysku.
- CVE-2026-117574Krytyczne
W ai-gateway-payload-processing uwierzytelniony zdalny atakujący może podać w treści żądania lub nagłówku identyfikator modelu innego najemcy. Usługa nie weryfikuje autoryzacji przed pobraniem poświadczeń ze wspólnego magazynu, więc wstrzykuje klucze API docelowego najemcy do żądania.
- CVE-2026-118264Krytyczne
W frameworku Echo (Go) od wersji 4.0.0 do 4.16.1 oraz w wersji 5.4.1 middleware Proxy wybiera surowy tunel z żądania WebSocket klienta przed weryfikacją, czy skonfigurowany upstream zaakceptował upgrade. Jeśli upstream odrzuci upgrade zwykłą odpowiedzią keep-alive, kolejne żądania HTTP na tym połączeniu trafiają bezpośrednio do upstreamu z pominięciem routera Echo i middleware tras. Może to obejść uwierzytelnianie lub autoryzację egzekwowane wyłącznie przez trasy Echo.
- CVE-2026-103409Krytyczne
W Juniper Networks Session Smart Router występuje podatność polegająca na braku uwierzytelniania dla funkcji krytycznej, co pozwala nieuwierzytelnionemu atakującemu sieciowemu uzyskać uprawnienia administracyjne poprzez przekazanie spreparowanych parametrów URL do niezabezpieczonego punktu końcowego działającego jako root. Podatność można wykorzystać wyłącznie przed wdrożeniem urządzenia do Mist/Conductor; po wdrożeniu nie jest już możliwa do wykorzystania.
- CVE-2026-103406Krytyczne
W komponencie AutomatedProvisioner w Juniper Networks Session Smart Conductor występuje podatność niewłaściwej neutralizacji elementów specjalnych w poleceniach systemu operacyjnego. Pozwala ona zdalnemu atakującemu na wykonanie dowolnych poleceń jako root poprzez specjalnie spreparowany identyfikator salt minion ID.
- CVE-2026-44179Krytyczne
Makro `excerpt-include` w XWiki Remote Macros nieprawidłowo escapuje tytuł dołączanej strony i wykonuje treść `excerpt` z uprawnieniami makra. Zarówno obsługa tytułu, jak i renderowanie treści `excerpt` do składni XWiki pozwalają na wstrzyknięcie składni. Każdy użytkownik mogący edytować stronę, nawet bez uprawnień do skryptów, może dostarczyć wykonywalną składnię makra i doprowadzić do zdalnego wykonania kodu przy dołączeniu strony.
- CVE-2026-115968Krytyczne
Podatność deserializacji niezaufanych danych w wtyczce WordPress Ultimate Member umożliwia wstrzyknięcie obiektu (Object Injection). Problem dotyczy wersji do 2.13.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The YITH WooCommerce Waitlist Premium plugin for WordPress is vulnerable to Privilege Escalation in versions up to, and including, 3.35.0. This is due to the add_user_in_waiting_list() function registered on the wp_ajax_yith_wcwtl_add_user action being missing both a capability check and a nonce verification, and using parse_str() + extract() to import attacker-controlled variables from $_POST['params'] that are then passed to wp_create_user() and $user->set_role(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to elevate their privileges to that of an administrator by creating a new user account and assigning it the administrator role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS