CVE-2026-25498
WysokieStreszczenie
W platformie Craft CMS w wersjach od 4.0.0-RC1 do 4.16.17 oraz od 5.0.0-RC1 do 5.8.21 występuje podatność na zdalne wykonanie kodu (RCE). Funkcja assembleLayoutFromPost() w pliku src/services/Fields.php nie sanitizuje danych konfiguracyjnych dostarczonych przez użytkownika, co pozwala na wstrzykiwanie złośliwych konfiguracji zachowań Yii2 przez uwierzytelnionych administratorów.
Ocena ryzyka
Podatność ta umożliwia wykonanie dowolnych poleceń systemowych na serwerze, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji. Może prowadzić do utraty danych, przejęcia kontroli nad systemem lub innych nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację Craft CMS do wersji 5.8.22 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy monitorować dostęp administratorów oraz stosować zasady minimalnych uprawnień.
Powiązane podatności
- CVE-2026-93765Krytyczne
Mongoid zawiera słabość niebezpiecznej refleksji w warstwie trwałości dokumentów. Przekazanie kluczy z danych wejściowych od nieuwierzytelnionej strony może spowodować niezamierzone wywołanie metod wewnętrznych zamiast aktualizacji pola tablicy, co może prowadzić do usunięcia przechowywanych rekordów i braku odpowiedzi aplikacji.
- CVE-2026-85497Krytyczne
Kamery IP CareCam CM2507 przechowują hasło root'a przy użyciu stałego, przestarzałego hasha, który nie zapewnia wystarczającej odporności na atak offline.
- CVE-2026-81321Krytyczne
Kamery IP CM2507 przechowują skonfigurowane poświadczenia sieci bezprzewodowej w postaci jawnego tekstu w systemie plików.
- CVE-2026-77240Krytyczne
WACRM w wersji 0.7.0 i wcześniejszych zawiera luki: zasady bezpieczeństwa na poziomie wierszy pozwalają uwierzytelnionym użytkownikom na zmianę własnej roli i identyfikatora konta, co umożliwia eskalację uprawnień i przeniesienie do innej dzierżawy. Ponadto funkcje match_ai_knowledge_fts i match_ai_knowledge_semantic uruchamiane z SECURITY DEFINER nie sprawdzają przynależności do konta, pozwalając niebędącym członkami na odczyt fragmentów bazy wiedzy innego dzierżawcy.
- CVE-2026-84383Krytyczne
libheif w wersjach od 1.22.0 do 1.23.2 ma podatność na przepełnienie sterty (heap out-of-bounds write). Specjalnie spreparowany plik HEIF/HEIC/AVIF z zagnieżdżonymi referencjami iden i auxl powoduje dodanie duplikatów kanałów Alpha z różną głębią bitową, a funkcja scale_nearest_neighbor() alokuje mniejszy bufor niż potrzeba, prowadząc do zapisu poza pamięć.
- CVE-2026-61682Krytyczne
kcp przed wersjami 0.31.4 i 0.32.2 nie usuwa nagłówków tożsamości (X-Remote-User, X-Remote-Group, X-Remote-Extra-*) przed przekazaniem żądań do shardów. Każdy uwierzytelniony dzierżawca może wstrzyknąć X-Remote-Group: system:masters i uzyskać pełne uprawnienia.
- CVE-2026-10858Krytyczne
IBM MQ dla HPE NonStop w wersjach od 8.1.0 do 8.1.0.40 ma podatność na niedomiar bufora sterty (heap buffer underflow) podczas przetwarzania wiadomości wielosesyjnych. Uwierzytelniony atakujący może spowodować odmowę usługi lub potencjalnie wykonać dowolny kod.
- CVE-2026-10747Krytyczne
IBM MQ Appliance ma podatność na przepełnienie bufora sterty w przetwarzaniu protokołu przed uwierzytelnieniem, co pozwala zdalnemu atakującemu na odmowę usługi lub potencjalne wykonanie dowolnego kodu.
- CVE-2025-53837Krytyczne
XWiki Rendering przed wersjami 14.10.2 i 15.0 RC1 umożliwia wykonanie dowolnych makr skryptowych, w tym Groovy i Python, przez użytkownika, który może edytować swój profil lub dowolny dokument. Wynik renderowania jest dołączany jako treść makra HTML bez dalszego eskejpowania, co pozwala zamknąć makro HTML i wstrzyknąć makra skryptowe z uprawnieniami programistycznymi.
- CVE-2025-15399Krytyczne
IBM Common Licensing Agent 9.0 (w tym wersje 9.0.0.1 i 9.0.0.2) oraz ART 9.0 (wersje 9.0.0.1 i 9.0.0.2) jest podatny na cross-site request forgery (CSRF), co pozwala atakującemu na wykonanie złośliwych działań w imieniu uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Craft is a platform for creating digital experiences. In versions 4.0.0-RC1 through 4.16.17 and 5.0.0-RC1 through 5.8.21, a Remote Code Execution (RCE) vulnerability exists in Craft CMS where the assembleLayoutFromPost() function in src/services/Fields.php fails to sanitize user-supplied configuration data before passing it to Craft::createObject(). This allows authenticated administrators to inject malicious Yii2 behavior configurations that execute arbitrary system commands on the server. This vulnerability represents an unpatched variant of the behavior injection vulnerability addressed in CVE-2025-68455, affecting different endpoints through a separate code path. This vulnerability is fixed in 5.8.22.