CVE-2026-32136
KrytyczneStreszczenie
AdGuard Home to oprogramowanie do blokowania reklam i śledzenia w sieci. Przed wersją 0.107.73, nieautoryzowany atakujący mógł obejść wszelkie mechanizmy uwierzytelniania, wysyłając żądanie HTTP/1.1, które prosiło o aktualizację do HTTP/2 w czystym tekście (h2c). Po zaakceptowaniu aktualizacji, połączenie HTTP/2 było obsługiwane bez żadnego middleware'u uwierzytelniającego.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu do zasobów AdGuard Home, co może prowadzić do wycieku danych lub nieautoryzowanego działania w sieci. Atakujący mogą uzyskać pełny dostęp do funkcji oprogramowania bez podawania jakichkolwiek poświadczeń.
Rekomendacja
Zaleca się aktualizację AdGuard Home do wersji 0.107.73 lub nowszej, aby usunąć tę podatność. Dodatkowo warto przeprowadzić audyt zabezpieczeń, aby upewnić się, że inne potencjalne luki są również załatane.
Powiązane podatności
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
- CVE-2026-96330Krytyczne
Wtyczka tagDiv Opt-In Builder (td-subscription) firmy tagDiv zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 1.7.6 włącznie.
- CVE-2026-96328Krytyczne
Wtyczka JNews - Pay Writer (do wersji 12.0.1) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-96327Krytyczne
Wtyczka WPLMS (wersje przed 1.9.9.8.2) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-94503Krytyczne
Wtyczka Zombify (do wersji 1.7.7) zawiera podatność typu Unrestricted Upload of File with Dangerous Type, która pozwala na przesłanie i wykonanie złośliwego skryptu (web shell) na serwerze.
- CVE-2026-93947Krytyczne
Wtyczka Traveler (do wersji 3.2.9) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-107935Krytyczne
W gvproxy, forwarderze sieciowym dostarczanym przez pakiet gvisor-tap-vsock, wykryto podatność typu path traversal. Nieuwierzytelniony endpoint /services/forwarder/expose nie waliduje ścieżki gniazda podanej przez wywołującego, co pozwala atakującemu na usunięcie dowolnych plików w systemie hosta.
- CVE-2026-107909Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcjach ws_read_frame (src/bolt/ws.c) i buffer_apply_mask (src/bolt/buffer.c). Zdalny nieuwierzytelniony atakujący może wysłać ramkę WebSocket z 64-bitową rozszerzoną długością ładunku do portu Bolt, powodując odmowę usługi i potencjalne uszkodzenie pamięci sterty. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
- CVE-2026-107908Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcji BoltReadHandler (src/bolt/bolt_api.c). Zdalny nieuwierzytelniony atakujący może wysłać wiadomość Bolt RESET z wybranym przez siebie rozmiarem fragmentu do portu Bolt, powodując odmowę usługi i potencjalne wykonanie dowolnego kodu. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
AdGuard Home is a network-wide software for blocking ads and tracking. Prior to 0.107.73, an unauthenticated remote attacker can bypass all authentication in AdGuardHome by sending an HTTP/1.1 request that requests an upgrade to HTTP/2 cleartext (h2c). Once the upgrade is accepted, the resulting HTTP/2 connection is handled by the inner mux, which has no authentication middleware attached. All subsequent HTTP/2 requests on that connection are processed as fully authenticated, regardless of whether any credentials were provided. This vulnerability is fixed in 0.107.73.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS