CVE-2026-16438
KrytyczneCVSS 9.4Streszczenie
W produktach Mitsubishi Electric (GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64) w wersjach 10.97.3 i wcześniejszych występuje podatność nieprawidłowego przypisania uprawnień. Instalatory przyznają domyślne uprawnienia DCOM kontu administratora, co pozwala atakującemu na lokalne lub zdalne uruchamianie i obsługę obiektów DCOM, które powinny wymagać podniesienia uprawnień UAC.
Ocena ryzyka
Podatność może prowadzić do ujawnienia, modyfikacji, zniszczenia lub usunięcia informacji wewnętrznych albo spowodowania odmowy usługi (DoS). Organizacje korzystające z tych produktów są narażone na ataki z użyciem konta administratora.
Rekomendacja
Zaktualizuj produkty do najnowszych wersji lub zastosuj poprawki producenta. Ogranicz uprawnienia DCOM dla konta administratora i monitoruj nietypową aktywność DCOM.
Powiązane podatności
- CVE-2026-109694Krytyczne
Wtyczka Fluent CRM (do 3.2.5) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie WordPress.
- CVE-2026-108497Krytyczne
Wtyczka Amelia Booking (do 2.4.10) zawiera podatność wstrzyknięcia SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych.
- CVE-2026-50619Krytyczne
W Qsirch wykryto podatność typu path traversal, która może pozwolić zdalnym atakującym na odczyt nieoczekiwanych plików lub danych systemowych. Podatność została naprawiona w wersji 7.0.3.0 i późniejszych.
- CVE-2026-50612Krytyczne
W QuMagie wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi (symlink following). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do naruszenia bezpieczeństwa systemu. Podatność została naprawiona w wersji 2.9.2 i późniejszych.
- CVE-2026-47786Krytyczne
W HybridDesk Station wykryto podatność wstrzyknięcia poleceń systemu operacyjnego (OS command injection), która może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń. Podatność została naprawiona w wersjach 4.2.23 i 4.3.4 oraz późniejszych.
- CVE-2026-34006Krytyczne
W sMedio DTCP MOVE wykryto podatność braku uwierzytelniania dla krytycznej funkcji, która może pozwolić zdalnym atakującym na uzyskanie dostępu do systemu. Podatność została naprawiona w wersji 1.4.5 i późniejszych.
- CVE-2026-19863Krytyczne
W EthereumAuthenticator nieuwierzytelniony klient może uzyskać dostęp do chronionych zasobów, jeśli ścieżka żądania zawiera skonfigurowaną ścieżkę logowania. Jest to spowodowane użyciem niezakończonego dopasowania podciągu przy identyfikacji strony logowania, co może prowadzić do zastąpienia wymagań uwierzytelniania lub ról wartością ALLOWED.
- CVE-2026-16436Krytyczne
W produktach Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz) występuje słaby mechanizm odzyskiwania hasła. Challenge response używany do odblokowania systemu jest wspólny dla wszystkich użytkowników i stały, co pozwala zdalnemu atakującemu na odblokowanie systemu po jego uzyskaniu.
- CVE-2026-102469Krytyczne
Klient Vert.x DB2 (vertx-db2-client) deserializuje dane kolumn typu UDT za pomocą wywołania ObjectInputStream.readObject() bez filtra klas. Złośliwy lub pośredniczący serwer DRDA może wysłać odpowiedź z kolumną oznaczoną jako UDT (FDOCA LID 0x50), co prowadzi do deserializacji danych kontrolowanych przez atakującego. Ponieważ TLS jest domyślnie wyłączony, atak man-in-the-middle jest wykonalny.
- CVE-2026-101287Krytyczne
W Stela w wersjach przed 1.60.1 występuje obejście uwierzytelniania wynikające z używania pliku cookie „authProcess” bez weryfikacji jego integralności. Aplikacja przechowuje w nim identyfikator użytkownika (userId) oraz status procesu uwierzytelniania (validSteps) i opiera się na tych wartościach, które mogą być modyfikowane przez klienta.
Oryginalny opis (angielski, źródło NVD)
Incorrect Privilege Assignment vulnerability in Mitsubishi Electric GENESIS64 versions 10.97.3 and prior, ICONICS Suite versions 10.97.3 and prior, Hyper Historian versions 10.97.3 and prior, AnalytiX versions 10.97.3 and prior, MobileHMI 10.97.3 and prior, MC Works64 all versions, Mitsubishi Electric Iconics Digital Solutions GENESIS64 versions 10.97.3 and prior, ICONICS Suite versions 10.97.3 and prior, Hyper Historian versions 10.97.3 and prior, AnalytiX versions 10.97.3 and prior, and MobileHMI 10.97.3 and prior allows an attacker who can log in using the same administrator account for the affected products to launch and operate DCOM objects locally or remotely. During installation, the installers of the affected products unnecessarily grant default DCOM permissions to the administrator account of the affected products. Users with that administrator accounts can locally or remotely launch and operate DCOM objects that should require UAC elevation. As a result, the attacker may disclose, tamper with, destroy, or delete internal information, or cause the affected system to enter a denial-of-service (DoS) condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS