CVE-2026-32613
KrytyczneStreszczenie
Spinnaker to otwartoźródłowa platforma do ciągłego dostarczania w chmurze. W wersjach przed 2026.1.0, 2026.0.1, 2025.4.2 i 2025.3.2, usługa Echo nie ograniczała kontekstu do zaufanych klas, co umożliwiało pełny dostęp do JVM i pozwalało na użycie dowolnych klas Java, co zagrażało bezpieczeństwu systemu.
Ocena ryzyka
Umożliwienie użytkownikom dostępu do dowolnych klas Java stwarza poważne ryzyko, w tym możliwość wykonywania poleceń i dostępu do plików, co może prowadzić do naruszenia integralności i poufności danych w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 2026.1.0, 2026.0.1, 2025.4.2 lub 2025.3.2, które zawierają poprawki. Alternatywnie, można całkowicie wyłączyć usługę Echo jako tymczasowe rozwiązanie.
Powiązane podatności
- CVE-2026-107282Krytyczne
Podatność w bibliotece AsyncHttpClient (AHC) przed wersjami 3.0.13 i 2.16.1 umożliwia powtórne wysłanie żądania do innego hosta, ale pozostawia oryginalny cel i kontekst proxy. Może to spowodować wysłanie ścieżki, nagłówka Host, poświadczeń lub zwykłego tekstu do miejsca docelowego replikacji.
- CVE-2026-76268Krytyczne
Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-76501Krytyczne
Podatność w funkcji SRv6 OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcje NGOAM i SRv6 są włączone.
- CVE-2026-76500Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą zasobów w całym ich cyklu życia (CWE-664). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76499Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76498Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76486Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
- CVE-2026-76485Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
Oryginalny opis (angielski, źródło NVD)
Spinnaker is an open source, multi-cloud continuous delivery platform. Echo like some other services, uses SPeL (Spring Expression Language) to process information - specifically around expected artifacts. In versions prior to 2026.1.0, 2026.0.1, 2025.4.2, and 2025.3.2, unlike orca, it was NOT restricting that context to a set of trusted classes, but allowing FULL JVM access. This enabled a user to use arbitrary java classes which allow deep access to the system. This enabled the ability to invoke commands, access files, etc. Versions 2026.1.0, 2026.0.1, 2025.4.2, and 2025.3.2 contain a patch. As a workaround, disable echo entirely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS