CVE-2026-31824
WysokieStreszczenie
W frameworku eCommerce Sylius odkryto podatność typu Time-of-Check To Time-of-Use (TOCTOU) w egzekwowaniu limitu użycia promocji. Problem dotyczy limitów użycia promocji, kuponów oraz limitów użycia kuponów na klienta, gdzie brak odpowiedniego blokowania na poziomie bazy danych prowadzi do odczytu przestarzałych wartości.
Ocena ryzyka
Organizacja może być narażona na nadużycia związane z promocjami, co może prowadzić do nieautoryzowanego dostępu do zniżek lub nieprawidłowego naliczania limitów kuponów. To może skutkować stratami finansowymi oraz obniżeniem zaufania klientów.
Rekomendacja
Zaleca się wprowadzenie mechanizmów blokowania na poziomie bazy danych oraz zastosowanie optymistycznego blokowania dla dotkniętych encji, aby zapobiec równoczesnym modyfikacjom i zapewnić integralność danych.
Powiązane podatności
- CVE-2026-89026Krytyczne
Issabel Framework, framework webowy wspierający oprogramowanie Issabel PBX, przed commitem b97dbaf zawiera zakodowany na stałe klucz podpisywania JWT HS256 w pliku pbxapi index.php, identyczny we wszystkich instalacjach, co pozwala nieuwierzytelnionym zdalnym atakującym na fałszowanie ważnych tokenów bearer. Atakujący mogą użyć sfałszowanego tokenu do wywołania endpointu manager originate z parametrem aplikacji System, powodując wykonanie dowolnych poleceń systemowych przez Asterisk jako użytkownik Asterisk. Dowody eksploatacji po raz pierwszy zaobserwowano przez Shadowserver Foundation w dniu 2026-09-09.
- CVE-2026-53710Krytyczne
MCP Context Forge to brama AI, rejestr i proxy dla API MCP, A2A, REST i gRPC. Przed wersją 1.0.2 python_sandbox_server w mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py udostępnia surowy getattr przez safe_builtins, pomija wymagany guard _getattr_ i polega na sprawdzeniach validate_code dla literalnych niebezpiecznych ciągów dunder. Atakujący może konstruować nazwy dunder w czasie wykonania, przechodzić przez hierarchię klas Pythona, dotrzeć do subprocess.Popen i wykonywać polecenia systemowe z uprawnieniami procesu serwera poprzez narzędzie execute_code MCP. Transport HTTP/SSE może udostępniać to narzędzie bez uwierzytelniania, podczas gdy wdrożenia tylko stdio mają zmniejszony zasięg sieciowy. Problem dotyczy podprojektu python_sandbox_server i nie wpływa bezpośrednio na komponenty rdzeniowe bramy lub proxy Context Forge. Problem został naprawiony w wersji 1.0.2.
- CVE-2026-46488Krytyczne
motionEye (mEye) to interfejs online dla oprogramowania "motion", programu do nadzoru wideo z detekcją ruchu. Przed wersją 0.44.0 motionEye akceptuje kontrolowane przez klienta pliki cookie meye_username i meye_password_hash jako materiał uwierzytelniający bez walidacji sesji po stronie serwera. Nieuwierzytelniony atakujący, który zna nazwę użytkownika i odpowiadający jej hash, może ręcznie ustawić pliki cookie lub spowodować ich załadowanie, przesyłając puste poświadczenia przez przepływ uwierzytelniania switch-user, po czym serwer uwierzytelnia atakującego jako tego użytkownika. Nazwa użytkownika administratora i wartość hasha hasła są przechowywane w /etc/motioneye/motion.conf, który jest domyślnie globalnie czytelny, co pozwala lokalnemu użytkownikowi powłoki uzyskać materiał poświadczeń administratora wielokrotnego użytku. Udane podszycie się może umożliwić blokadę konta, zmiany haseł i trwałość, wyliczanie danych, niszczenie danych i eksfiltrację danych. Problem został naprawiony w wersji 0.44.0.
- CVE-2024-58385Krytyczne
Yonyou U8 CRM zawiera nieuwierzytelnioną podatność SQL injection w endpointcie konfiguracji fillbacksettingedit.php, gdzie parametr DontCheckLogin=1 omija uwierzytelnianie, a parametr id jest włączany do zapytań SQL bez sanityzacji. Atakujący mogą wykorzystać tę lukę do wykonania dowolnych poleceń SQL, a w przypadku wdrożeń Microsoft SQL Server z włączonym xp_cmdshell do zapisu plików backdoor i wykonania dowolnych poleceń systemowych. Dowody eksploatacji po raz pierwszy zaobserwowano przez Shadowserver Foundation w dniu 2025-02-13.
- CVE-2023-54398Krytyczne
Yonyou U8 Cloud zawiera nieuwierzytelnioną podatność deserializacji Java w komponencie nc.impl.pub.filesystem.FileManageServlet, która pozwala zdalnym nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń systemowych poprzez wysłanie serializowanego ładunku w żądaniu POST. Atakujący mogą wykorzystać metodę doAction, która przekazuje surowe dane ciała żądania HTTP bezpośrednio do ObjectInputStream.readObject() bez filtrowania, aby osiągnąć zdalne wykonanie kodu. Dowody eksploatacji po raz pierwszy zaobserwowano przez Shadowserver Foundation w dniu 2025-02-13.
- CVE-2026-91949Krytyczne
Serwer FreeRDP w wersjach przed 3.31.0 zawiera podatność obejścia negocjacji protokołu, która pozwala nieuwierzytelnionym atakującym na ustanowienie połączeń RDSTLS pomimo polityki serwera wyłączającej je. Atakujący mogą wysyłać niekompatybilne żądania protokołu, otrzymywać błędy negocjacji, a następnie zakończyć uzgadnianie TLS i wejść w RDSTLS, aby obejść ograniczenia transportu przed uwierzytelnianiem.
- CVE-2026-77972Krytyczne
Podatność typu Time-of-check Time-of-use (TOCTOU) w Slab safeurl pozwala atakującemu kontrolującemu odpowiedzi DNS hostname na dotarcie do wewnętrznych celów sieciowych, które walidacja odrzuciła. Walidacja zwraca werdykt, a nie adres, który zatwierdziła, więc klienci HTTP dostarczani z biblioteką otrzymują oryginalny hostname i rozwiązują go ponownie przy wysyłaniu żądania. Atakujący kontrolujący autorytatywny DNS dla nazwy może odpowiedzieć na pierwsze zapytanie dozwolonym adresem, a na drugie zablokowanym, przez co żądanie dociera do celu, którego walidacja nigdy nie zatwierdziła. To samo okno otwiera się bez atakującego, gdy nazwa legalnie rozwiązuje się na różne adresy między zapytaniami, np. przy krótkim czasie życia rekordów lub rotacji między kilkoma adresami. Problem dotyczy safeurl od wersji 0.1.0.
- CVE-2026-77866Krytyczne
Podatność Server-Side Request Forgery (SSRF) w Slab safeurl pozwala atakującemu kontrolującemu zwalidowany URL na dotarcie do wewnętrznych celów sieciowych, które biblioteka ma blokować. Tylko adresy IPv4 są dopasowywane do zarezerwowanych zakresów i blocklisty. Każdy inny adres jest traktowany jako niepasujący do niczego, więc cel odrzucony w formie IPv4 jest akceptowany, gdy jest zapisany jako adres IPv6, wpisy IPv6 w blockliście nigdy nie pasują, a host, który nie rozwiązuje się na żaden adres IPv4, jest akceptowany niezależnie od tego, gdzie wskazuje. Wdrożenia opierające się na allowliście są nienaruszone, ponieważ tam niedopasowany adres jest odrzucany. Problem dotyczy safeurl od wersji 0.1.0.
- CVE-2026-55211Krytyczne
Biblioteka surfio, służąca do odczytu i zapisu plików powierzchni, nieprawidłowo waliduje pola rozmiaru w plikach IRAP przed wersją 0.0.19. Prowadzi to do przepełnienia bufora podczas parsowania niezaufanych plików. Problem został naprawiony w wersji 0.0.19.
- CVE-2026-63696Krytyczne
Dell SmartFabric OS10 w wersjach przed 10.6.1.3 zawiera podatność typu pobieranie kodu bez weryfikacji integralności. Uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Sylius is an Open Source eCommerce Framework on Symfony. A Time-of-Check To Time-of-Use (TOCTOU) race condition was discovered in the promotion usage limit enforcement. The same class of vulnerability affects the promotion usage limit (the global used counter on Promotion entities), coupon usage limit (the global used counter on PromotionCoupon entities), and coupon per-customer usage limit (the per-customer redemption count on PromotionCoupon entities). In all three cases, the eligibility check reads the used counter (or order count) from an in-memory Doctrine entity during validation, while the actual usage increment in OrderPromotionsUsageModifier happens later during order completion — with no database-level locking or atomic operations between the two phases. Because Doctrine flushes an absolute value (SET used = 1) rather than an atomic increment (SET used = used + 1), and because the affected entities lack optimistic locking, concurrent requests all read the same stale usage cou