CVE-2026-19677

W Part-DB przed wersją 2.12.1 mechanizm blokowania niebezpiecznych rozszerzeń przy przesyłaniu załączników nie obejmuje rozszerzenia .phar. Plik .phar przesłany jako załącznik trafia do katalogu public/media/, który jest dokument root Apache, a konfiguracja Apache kieruje .phar do PHP-FPM, co pozwala na wykonanie dowolnego kodu PHP.

W konsoli administracyjnej Okta Access Gateway (OAG) występuje problem walidacji danych wejściowych pozwalający na przetwarzanie specjalnie sformatowanych wartości konfiguracyjnych. Uwierzytelniony administrator może wykorzystać tę lukę do wykonania poleceń systemowych w kontekście konta usługi OAG.

Usługa zarządzania siecią w firmware enkodera Kiloview E3 NDI nie waliduje nazwy interfejsu sieciowego przyjmowanej przez endpoint konfiguracji adresu utrzymania łącza przed przekazaniem jej do polecenia powłoki. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji sieci może wykorzystać tę lukę do wykonania dowolnych poleceń systemu operacyjnego jako root.

Usługa sterowania systemem w firmware enkodera Kiloview E3 NDI nie sanityzuje parametru hostname przyjmowanego przez endpoint nazewnictwa urządzenia i przekazuje go bez cudzysłowów do polecenia powłoki. Uwierzytelniony użytkownik webowy z dostępem do tej funkcji może wstawić znaki specjalne i wykonać dowolne polecenia systemu operacyjnego jako root, co prowadzi do pełnego przejęcia urządzenia.

Występuje nieprawidłowa weryfikacja uwierzytelniania w usłudze AAD App Proxy. Nieuwierzytelniony atakujący może wykorzystać tę lukę do podniesienia uprawnień w sieci.

Brak uwierzytelniania dla krytycznej funkcji w usłudze Azure Kubernetes Configuration Service. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.

Występuje nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku (podążanie za dowiązaniem) w VM Inspector dla Azure Virtual Machines. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.

Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.

Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń) w Azure Pipelines. Nieuwierzytelniony atakujący może wykonać kod w sieci.

W on-prem wersji VeloCloud Orchestrator (VCO) występuje luka w zabezpieczeniach, która może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanej wewnętrznej funkcjonalności i wpłynięcie na host VCO. Każdy uwierzytelniony użytkownik może uzyskać uprawnienia operatora i podszyć się pod lokalnego użytkownika "superuser operator", uzyskując dostęp do funkcji przeznaczonych wyłącznie do użytku wewnętrznego, które nie powinny być dostępne zdalnie.