CVE-2026-22888
WysokieStreszczenie
W Cybozu Garoon w wersjach od 5.0.0 do 6.0.3 występuje problem z niewłaściwą weryfikacją danych wejściowych, co może prowadzić do nieautoryzowanej zmiany ustawień portalu, a w konsekwencji zablokowania dostępu do produktu.
Ocena ryzyka
Organizacja może być narażona na ryzyko utraty dostępu do kluczowych funkcji systemu, co może wpłynąć na ciągłość działania i efektywność pracy.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Cybozu Garoon, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczających weryfikację danych wejściowych.
Powiązane podatności
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-93740Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75885Krytyczne
W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).
- CVE-2026-93738Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formSchedule w pliku /boafrm/formSchedule. Manipulacja argumentem webpage prowadzi do przepełnienia bufora. Atak jest możliwy zdalnie, a exploit został upubliczniony.
- CVE-2026-93839Krytyczne
LightLLM w wersji do 1.2.0 zawiera lukę obejścia uwierzytelniania w punkcie końcowym WebSocket /pd_register, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne węzły poprzez dostarczenie spreparowanego JSON bez walidacji adresu peera. Atakujący mogą ujawnić pełne prompty użytkowników kierowane do ich gniazda, wywołać odmowę usługi poprzez zastąpienie legalnych węzłów lub zmusić PD Master do wysyłania żądań do wewnętrznych adresów sieciowych.
- CVE-2026-84082Krytyczne
IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.
- CVE-2026-84078Krytyczne
IBM Guardium Data Protection 12.2 jest podatny na lukę braku uwierzytelniania w LoadBalancerServlet. Nieuwierzytelniony użytkownik może uzyskać dostęp do uprzywilejowanych operacji load balancera, co może skutkować nieautoryzowanymi działaniami i wpłynąć na integralność oraz dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
Improper input verification issue exists in Cybozu Garoon 5.0.0 to 6.0.3, which may lead to unauthorized alteration of portal settings, potentially blocking access to the product.