CVE-2026-21916

W SuperTokens Core w wersjach od 6.0.0 do 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1 funkcja Multitenancy.checkPermissionsForCreateOrUpdate nieprawidłowo autoryzuje aktualizacje domeny nadrzędnej URI połączenia lub dzierżawy bazowej. W licencjonowanym wdrożeniu wielodostępnym z wieloma aplikacjami w ramach jednej domeny URI połączenia innej niż domyślna i oddzielnymi kluczami API atakujący posiadający ważny klucz API jednej aplikacji może zaktualizować domenę nadrzędną, a następnie zastąpić klucze aplikacji siostrzanych, czytać lub modyfikować użytkowników siostrzanych, uzyskiwać sesje jako ci użytkownicy, utrwalić dostęp przez użytkownika pulpitu nawigacyjnego siostrzanej aplikacji i zablokować własny klucz aplikacji siostrzanej. Warianty obsługi tworzenia lub aktualizacji v2 z pominięciem opcjonalnego identyfikatora tworzą cel dzierżawy bazowej, który pomija gałęzie uprawnień i bramkę funkcji enterprise, umożliwiając zmiany w firstFactors, wymaganych czynnikach dodatkowych i flagach włączonych przepisów, co wpływa na integralność i dostępność logowania. Wariant celu bazowego nadal odrzuca coreConfig i nie prowadzi do kradzieży kluczy. Problem naprawiono w wersjach 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1.

Redpanda Connect w wersjach 4.39–4.110 ma brak uwierzytelniania w API zarządzania HTTP wystawionym na 0.0.0.0:4195, co pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym do TCP/4195 na zdalne wykonanie kodu (RCE). Atakujący może wysłać złośliwą definicję pipeline do /streams/{id} z procesorami wykonującymi kod (command, subprocess, ffi, sql_raw), uzyskując wykonanie poleceń z uprawnieniami konta usługi Redpanda Connect. Od wersji 4.111 API jest domyślnie wyłączone (opt-in), ale RCE nadal jest możliwe po ręcznym włączeniu flagą --bind-http.

Tasmota do wersji 16.0.0 (naprawione w commicie e97e1e4) zawiera podatność heap out-of-bounds write w SendReceiveDeviceGroupMessage(), pozwalającą nieuwierzytelnionym atakującym w sieci lokalnej na uszkodzenie pamięci sterty poprzez wysyłanie spreparowanych wiadomości Device Groups przez UDP port 4447. Wiadomości powodują, że licznik log_remaining staje się ujemny, a zapisy przekraczają stały bufor 512 bajtów. Może to doprowadzić do awarii urządzenia lub potencjalnie wykonania kodu na platformach ESP8266 i ESP32 pozbawionych ASLR i heap cookies.

W funkcji przesyłania pakietów w Chaos Software V-Ray do wersji 2.0.19 występuje niekontrolowany element ścieżki wyszukiwania. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod, przekierowując dostęp do bibliotek.

rConfig Core w wersji 8.0.0 przed 8.2.19 oraz rConfig Pro przed 8.4.1 zawierają podatność deserializacji niezaufanych danych. Nieuwierzytelniony atakujący może umieścić spreparowane zadanie w kolejce Laravel Horizon opartej na Redis, co prowadzi do wykonania dowolnego kodu przez klasę App\Jobs\TaskDownloadRun i pakiet laravel/tinker.

WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/upload.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru uploadPath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.

WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/controllers/save_photo.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru currentpath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.

Komponenty aktualizacji pobierają i wykonują kod bez właściwej weryfikacji autentyczności, opierając się na ignorowanych haszach lub podrabialnych sumach kontrolnych. Niektóre ścieżki aktualizacji pozwalają również na traversal archiwum lub wykonanie skryptu.

Wtyczka WordPress Confection Cable w wersjach 0.4.0–0.4.7 nie sprawdza uprawnień ani tokenów nonce przed zapisaniem ustawień, a jedną z wartości zapisuje bez modyfikacji do samodzielnego pliku PHP, który następnie udostępnia. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP na serwerze.

W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.