CVE-2026-27979
WysokieStreszczenie
Next.js to framework React do budowy aplikacji webowych. W wersjach od 16.0.1 do 16.1.7, żądanie zawierające nagłówek `next-resume: 1` mogło buforować ciała żądań bez konsekwentnego egzekwowania limitu `maxPostponedStateSize`, co prowadziło do nadmiernego zużycia pamięci i potencjalnego odmowy usługi.
Ocena ryzyka
Organizacje mogą być narażone na ataki DoS, gdyż atakujący może wysyłać zbyt duże ładunki POST, co prowadzi do wyczerpania zasobów serwera. W przypadku aplikacji korzystających z App Router z włączoną funkcjonalnością Partial Prerendering, ryzyko to jest szczególnie wysokie.
Rekomendacja
Zaleca się aktualizację do wersji 16.1.7, która wprowadza egzekwowanie limitów rozmiaru dla wszystkich ścieżek buforowania ciał żądań. Jeśli aktualizacja nie jest możliwa, należy wdrożyć dodatkowe mechanizmy ograniczające rozmiar przychodzących żądań.
Powiązane podatności
- CVE-2026-90847Krytyczne
W urządzeniu EFM ipTIME C200E w wersji 1.094 wykryto podatność w nieznanej funkcji pliku iux_set.cgi w komponencie System Setup. Manipulacja powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-12944Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.
- CVE-2026-67399Krytyczne
W WHMCS w wersjach 9.0.0 do 9.0.8 oraz 8.0.0 do 8.13.7 występuje deserializacja niezaufanych danych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2026-65414Krytyczne
W produktach Apple występuje luka typu out-of-bounds write wynikająca z nieprawidłowego sprawdzania granic. Zdalny atakujący może spowodować nieoczekiwane zakończenie aplikacji lub wykonanie dowolnego kodu. Luka została naprawiona w iOS 26.7, iPadOS 26.7, iOS 27, iPadOS 27, macOS Golden Gate 27, macOS Sequoia 15.8, macOS Tahoe 26.7, tvOS 27, visionOS 27 oraz watchOS 27.
- CVE-2026-53713Krytyczne
Envoy Gateway przed wersjami 1.7.4 i 1.8.1 nie zwija nadmiarowych separatorów w to_absolute_normalized_path w pliku internal/gatewayapi/luavalidator/security.lua przed oceną is_critical_path dla Lua przesyłanego przez EnvoyExtensionPolicy podczas domyślnej walidacji Strict. Linux traktuje podwójny ukośnik jako pojedynczy, ale walidator nie dopasowuje tej formy, co pozwala przesłanemu Lua na odczyt dowolnych plików z podu kontrolera gateway. Ujawnione pliki mogą zawierać tokeny konta usługi Kubernetes, certyfikaty TLS i dane środowiskowe procesu, a ujawnione poświadczenia mogą zapewnić dostęp do wrażliwych informacji z Kubernetes API Server lub Gateway xDS server. Luka została naprawiona w wersjach 1.7.4 i 1.8.1.
- CVE-2026-55209Krytyczne
resdata przed wersją 6.2.9 niewystarczająco waliduje pola numeryczne, wymiary siatki, rozmiary słów kluczowych i indeksy tablic podczas parsowania niezaufanych plików GRDECL w lib/resdata/rd_kw_grdecl.cpp i lib/resdata/rd_grid.cpp. Zniekształcone dane COORD, ZCORN, CORSNUM, ACTNUM lub MAPAXES mogą prowadzić do przepełnienia bufora, odczytów poza zakresem, nieprawidłowego dostępu do tablicy, dereferencji wskaźnika NULL, uszkodzenia pamięci lub zakończenia usługi. Luka została naprawiona w wersji 6.2.9.
- CVE-2026-54334Krytyczne
UEFI Firmware Parser przed wersją 1.14 zawiera błąd w ReadCLen() w uefi_firmware/compression/Tiano/Decompress.c, gdzie odczyt Number z GetBits(Sd, CBIT) z CBIT = 9 może uzyskać 511 wpisów dla 510-elementowej tablicy Sd->mCLen, ponieważ pętla nie wymusza Index < NC. Ścieżka run-length CharC == 2 może dodatkowo zażądać do 531 zapisów zerowych przez Sd->mCLen[Index++] = 0. Złośliwe oprogramowanie układowe Tiano lub EFI może uszkodzić pamięć sterty, spowodować awarię procesu parsowania i potencjalnie wykonać kod. Luka została naprawiona w wersji 1.14.
- CVE-2026-54333Krytyczne
UEFI Firmware Parser przed wersją 1.14 zawiera błąd w MakeTable() w uefi_firmware/compression/Tiano/Decompress.c, gdzie nie sprawdza się, czy wartości długości bitów odczytane ze spreparowanego strumienia bitowego Tiano lub EFI mieszczą się w zakresie od 0 do 16. Ścieżka parsowania CompressedSection.process() do efi_compressor.TianoDecompress() do TianoDecompress() do ReadPTLen() do MakeTable() może zapisać poza tablicą Count[17] na stosie i powiązanymi tablicami dekodującymi. Powstałe uszkodzenie stosu powoduje awarię procesu parsowania i może umożliwić wykonanie kodu. Luka została naprawiona w wersji 1.14.
- CVE-2026-50006Krytyczne
Anyquery przed wersją 0.4.5 przekazuje nieuwierzytelnione zapytania SQL z portu serwera kompatybilnego z MySQL do SQLite bez ograniczania celów systemu plików ATTACH DATABASE. Zdalny atakujący może wybrać dowolną ścieżkę zapisywalną przez proces serwera Anyquery, spowodować utworzenie tam pliku bazy danych przez SQLite i umieścić w nim kontrolowaną przez siebie treść tabeli. Umożliwia to tworzenie lub nadpisywanie dowolnych plików, powodując utratę integralności systemu plików i odmowę usługi; zdalne wykonanie kodu jest możliwe tylko wtedy, gdy inna usługa interpretuje zapisany plik lub proces ma odpowiednio uprzywilejowany cel zapisu. Luka została naprawiona w wersji 0.4.5.
- CVE-2026-16338Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
Oryginalny opis (angielski, źródło NVD)
Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and prior to version 16.1.7, a request containing the `next-resume: 1` header (corresponding with a PPR resume request) would buffer request bodies without consistently enforcing `maxPostponedStateSize` in certain setups. The previous mitigation protected minimal-mode deployments, but equivalent non-minimal deployments remained vulnerable to the same unbounded postponed resume-body buffering behavior. In applications using the App Router with Partial Prerendering capability enabled (via `experimental.ppr` or `cacheComponents`), an attacker could send oversized `next-resume` POST payloads that were buffered without consistent size enforcement in non-minimal deployments, causing excessive memory usage and potential denial of service. This is fixed in version 16.1.7 by enforcing size limits across all postponed-body buffering paths and erroring when limits are exceeded. If upgrading is not im