CVE-2026-28940
WysokieStreszczenie
Problem dotyczy nieprawidłowego zarządzania pamięcią, które może prowadzić do uszkodzenia pamięci procesu podczas przetwarzania złośliwie skonstruowanego obrazu. Został naprawiony w kilku wersjach systemów operacyjnych Apple.
Ocena ryzyka
Złośliwe obrazy mogą prowadzić do awarii aplikacji lub systemu, co stwarza ryzyko utraty danych lub nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaleca się aktualizację do najnowszych wersji iOS, iPadOS, macOS, tvOS oraz visionOS, aby zabezpieczyć się przed tą podatnością.
Powiązane podatności
- CVE-2026-8778Krytyczne
Wtyczka MIPL Grouped Checkout Fields for WooCommerce dla WordPressa (wersje do 1.2.1 włącznie) jest podatna na przesyłanie dowolnych plików z powodu braku walidacji typu pliku w funkcji `mipl_wc_upload_file`. Nieuwierzytelniony atakujący może przesłać dowolne pliki na serwer, co może umożliwić zdalne wykonanie kodu.
- CVE-2026-82107Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera błąd w mechanizmie uwierzytelniania, który pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać dostęp do poufnych informacji oraz obejść ograniczenia bezpieczeństwa.
- CVE-2026-82100Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 jest podatny na atak typu path traversal, który umożliwia zdalnemu uwierzytelnionemu atakującemu wywołanie odmowy usługi (DoS).
- CVE-2026-81204Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku wstrzyknięcia kodu podczas budowania grafu.
- CVE-2026-80424Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 pozwala zdalnemu uwierzytelnionemu atakującemu tworzyć dowolne pliki w wyniku podatności path traversal podczas rozpakowywania archiwów.
- CVE-2026-79724Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji znaków specjalnych w poleceniach.
- CVE-2026-78573Krytyczne
IBM ContextForge MCP Gateway w wersjach od 1.0.0 do 1.0.7 pozwala zdalnemu atakującemu uzyskać dostęp administracyjny z powodu używania domyślnych poświadczeń.
- CVE-2026-45764Krytyczne
Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 zmiana protokołu podczas przetwarzania ruchu HTTP/2 może prowadzić do pomylenia typów, powodując awarię Suricaty i odmowę usługi.
- CVE-2026-19646Krytyczne
IBM Common Licensing Agent 9.0, 9.0.0.1, 9.0.0.2 oraz ART 9.0, 9.0.0.1, 9.0.0.2 pozwalają zdalnemu atakującemu przekierować użytkowników na dowolną domenę z powodu nieprawidłowej walidacji nagłówka HTTP Host.
- CVE-2026-89094Krytyczne
Forgejo w wersjach przed 16.0.4 pozwala na zdalne wykonanie kodu poprzez spreparowane repozytorium szablonów, ponieważ rozwijanie szablonów na plikach w .forgejo/template jest nieprawidłowo obsługiwane.
Oryginalny opis (angielski, źródło NVD)
The issue was addressed with improved memory handling. This issue is fixed in iOS 18.7.9 and iPadOS 18.7.9, iOS 26.5 and iPadOS 26.5, macOS Sequoia 15.7.7, macOS Tahoe 26.5, tvOS 26.5, visionOS 26.5. Processing a maliciously crafted image may corrupt process memory.