CVE-2026-2538
WysokieStreszczenie
W Flos Freeware Notepad2 w wersjach 4.2.22, 4.2.23, 4.2.24 i 4.2.25 odkryto lukę bezpieczeństwa w nieznanej funkcji biblioteki Msimg32.dll. Manipulacja tą funkcją prowadzi do niekontrolowanej ścieżki wyszukiwania.
Ocena ryzyka
Atak wymaga lokalnego dostępu, a jego złożoność została oceniona jako wysoka, co utrudnia wykorzystanie tej podatności. Brak odpowiedzi od dostawcy na zgłoszenie może wskazywać na brak wsparcia w rozwiązaniu problemu.
Rekomendacja
Zaleca się monitorowanie systemów pod kątem nieautoryzowanego dostępu oraz rozważenie aktualizacji lub zmiany oprogramowania, aby zminimalizować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-93467Krytyczne
Oprogramowanie OAKlouds firmy HGiga zawiera podatność niezabezpieczonej deserializacji. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod na serwerze, wysyłając specjalnie spreparowaną treść serializowaną.
- CVE-2026-85878Krytyczne
Nieprawidłowa autoryzacja w Azure Database for PostgreSQL umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-69843Krytyczne
Obejście uwierzytelniania poprzez podszywanie się w Microsoft Fabric umożliwia nieuprawnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-62874Krytyczne
Niewystarczająca weryfikacja autentyczności danych w Azure Billing umożliwia nieuprawnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-87886WysokieAktywnie exploitowane
Podatność polega na lokalnym podniesieniu uprawnień wynikającym z niezabezpieczonych uprawnień do plików. Dotyczy produktów Acronis Backup plugin for cPanel & WHM (Linux) przed build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) przed build 1.8.11.638 oraz Acronis Backup plugin for DirectAdmin (Linux) przed build 1.2.3.238.
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Flos Freeware Notepad2 4.2.22/4.2.23/4.2.24/4.2.25. Affected is an unknown function in the library Msimg32.dll. Performing a manipulation results in uncontrolled search path. Attacking locally is a requirement. The attack's complexity is rated as high. The exploitability is told to be difficult. The vendor was contacted early about this disclosure but did not respond in any way.