CVE-2026-19683
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W funkcji Dynamic DNS (DDNS) bram TP-Link Omada poświadczenia uwierzytelniające są przesyłane przez niezaszyfrowany kanał podczas komunikacji z zewnętrznym serwisem DDNS. Atakujący, który może obserwować lub manipulować ruchem między urządzeniem a serwisem DDNS, może uzyskać wrażliwe informacje uwierzytelniające lub zakłócić operacje aktualizacji DDNS. Wykorzystanie wymaga skonfigurowania DDNS, komunikacji z zewnętrznym serwisem DDNS oraz widoczności lub kontroli ścieżki sieciowej przez atakującego.
Ocena ryzyka
Udane wykorzystanie może prowadzić do ujawnienia poświadczeń konta DDNS, nieautoryzowanego dostępu do funkcji zarządzania DDNS lub modyfikacji rekordów DNS związanych z wdrożeniem, co może naruszyć integralność i poufność systemu.
Rekomendacja
Zaleca się skonfigurowanie szyfrowanego połączenia (np. HTTPS) dla komunikacji DDNS oraz monitorowanie ruchu sieciowego w celu wykrycia nieautoryzowanych prób przechwycenia danych.
Powiązane podatności
- CVE-2026-78657Krytyczne
Wtyczka SigmaForms Pro – AI Generated Forms dla WordPressa do wersji 1.4.11 włącznie jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_submission_files. Niezalogowani atakujący mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik, np. wp-config.php. Złośliwy adres URL z path traversal jest przesyłany przez pole formularza i przechowywany w bazie danych, a usunięcie następuje, gdy administrator usunie rekord zgłoszenia z panelu administracyjnego.
- CVE-2026-9055Krytyczne
Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) dla WordPressa w wersjach 8.0 - 9.6.2 jest podatna na eskalację uprawnień z powodu niewystarczającej walidacji parametru 'type' w punkcie końcowym aktualizacji klienta. Umożliwia to klientom ustawienie swojej roli na 'manager' i utworzenie użytkownika WordPressa z rolą wpamelia-manager, gdy parametr 'externalId' jest ustawiony na 0. Nieuwierzytelnieni atakujący mogą eskalować swoje uprawnienia do administratora, najpierw podnosząc się do roli menedżera, a następnie tworząc encję dostawcy powiązaną z ID administratora i nadpisując hasło administratora.
- CVE-2026-84699Krytyczne
Team Password Manager przed wersją 14.184.308 nie egzekwuje wymagań uwierzytelniania w procesie resetowania hasła konta lokalnego. Nieuwierzytelnieni atakujący mogą resetować hasła kont lokalnych i uwierzytelniać się jako ci użytkownicy, uzyskując nieautoryzowany dostęp.
- CVE-2026-84354Krytyczne
Nieprawidłowa autoryzacja w systemie plików w Google Chrome przed wersją 152.0.7977.75 umożliwiła zdalnemu atakującemu wykorzystującemu socjotechnikę wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga: wysoka)
- CVE-2026-84353Krytyczne
Użycie po zwolnieniu w Shared Tab Groups w Google Chrome na Androidzie przed wersją 152.0.7977.75 umożliwiło zdalnemu atakującemu wykorzystującemu socjotechnikę wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga: krytyczna)
- CVE-2026-84352Krytyczne
Użycie po zwolnieniu w WebGL w Google Chrome na Androidzie przed wersją 152.0.7977.75 umożliwiło zdalnemu atakującemu wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga: krytyczna)
- CVE-2026-84333Krytyczne
Użycie po zwolnieniu (use-after-free) w komponencie Dawn w przeglądarce Google Chrome na Androidzie przed wersją 152.0.7977.75. Zdalny atakujący mógł wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-84324Krytyczne
Użycie po zwolnieniu (use-after-free) w komponencie Proxy w przeglądarce Google Chrome przed wersją 152.0.7977.75 umożliwiło zdalnemu atakującemu wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanego ruchu sieciowego. (Dotkliwość wg Chromium: wysoka)
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in the Dynamic DNS (DDNS) functionality of TP-Link Omada Gateways. During communication with a third-party DDNS service, authentication credentials are transmitted over an unencrypted channel. An attacker who can observe or manipulate traffic between an affected device and the DDNS service may obtain sensitive authentication information or interfere with DDNS update operations. Exploitation requires DDNS to be configured, communication with an external DDNS service, and attacker visibility or control of the relevant network path. Successful exploitation may result in disclosure of DDNS account credentials, unauthorized access to DDNS management functionality, or modification of DNS records associated with the affected deployment.