CVE-2026-32948
WysokieStreszczenie
sbt to narzędzie do budowy aplikacji w językach Scala, Java i innych. W wersjach od 0.9.5 do przed 1.12.7 na systemie Windows, sbt używa Process('cmd', '/c', ...) do uruchamiania poleceń VCS (git, hg, svn). Fragment URI (gałąź, tag, rewizja) jest kontrolowany przez użytkownika i przekazywany do tych poleceń bez walidacji.
Ocena ryzyka
Z powodu interpretacji znaków &, | i ; jako separatorów poleceń przez cmd /c, złośliwy fragment może wykonać dowolne polecenia, co stwarza poważne ryzyko dla bezpieczeństwa systemu. Może to prowadzić do nieautoryzowanego dostępu lub usunięcia danych.
Rekomendacja
Zaleca się aktualizację sbt do wersji 1.12.7 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić walidację fragmentów URI w definicji budowy.
Powiązane podatności
- CVE-2026-76461Krytyczne
Podatność w analizie wiadomości e-mail w oprogramowaniu Cisco AsyncOS dla Cisco Secure Email Gateway wynika z niewystarczającej walidacji logiki parsowania. Nieuwierzytelniony zdalny atakujący może wysłać spreparowaną wiadomość zawierającą złośliwe instrukcje SQL, co może prowadzić do wykonania dowolnych poleceń SQL i w konsekwencji poleceń z uprawnieniami roota w systemie operacyjnym.
- CVE-2026-76443Krytyczne
Podatności oznaczone CVE-2026-76443 dotyczą problemów z niewłaściwą neutralizacją, zgrupowanych w filarze CWE-707, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.
- CVE-2026-76441Krytyczne
Podatności oznaczone CVE-2026-76441 dotyczą problemów z niewłaściwą kontrolą dostępu, zgrupowanych w filarze CWE-284, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.
- CVE-2026-76440Krytyczne
Podatności oznaczone CVE-2026-76440 dotyczą problemów z przechodzeniem ścieżek (path traversal), zgrupowanych w filarze CWE-23, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.
- CVE-2026-20353Krytyczne
Podatności oznaczone CVE-2026-20353 dotyczą problemów z niewłaściwą kontrolą zasobu w cyklu jego życia, zgrupowanych w filarze CWE-664, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.
- CVE-2026-61534Krytyczne
W bibliotece Yayson do serializacji i odczytu danych JSON API w JavaScript w wersjach przed 4.3.0 komponenty Store i LegacyStore używają kontrolowanych przez atakującego nazw typu, id i relacji JSON:API jako kluczy w tablicach wyszukiwania. Dokument z typem __proto__ powoduje modyfikację Object.prototype, a atakujący kontroluje nazwę zanieczyszczanej właściwości przez id oraz jej wartość przez atrybuty. Może to prowadzić do zanieczyszczenia prototypu w całym procesie, powodując odmowę usługi i korupcję logiki.
- CVE-2026-57145Krytyczne
W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.62 plik src/praisonai/praisonai/tools/multiedit.py przekazuje kontrolowany przez LLM parametr filepath bezpośrednio do funkcji open bez odrzucania przechodzenia ścieżek, rozwiązywania dowiązań symbolicznych, granicy obszaru roboczego ani sprawdzania chronionych ścieżek. Agenci podatni na wpływ promptów mogą odczytywać pliki lub je nadpisywać.
- CVE-2026-57131Krytyczne
W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.58 funkcja praisonai.jobs.server.create_app montuje praisonai.jobs.router.create_router pod /api/v1/runs bez uwierzytelniania i autoryzacji dla poszczególnych zadań. Klienci sieciowi mogą przesyłać kontrolowane przez atakującego prompty i konfigurację agenta, wyświetlać i odczytywać zadania, strumieniować wyniki oraz anulować lub usuwać zadania innych.
- CVE-2026-90961Krytyczne
Wtyczki LdapAuth i LinOTPAuth w MISP zawierają podatność na ominięcie uwierzytelniania. Brak walidacji pól email i hasło pozwala na przekazanie pustych lub nieprawidłowych wartości do logiki uwierzytelniania, co w przypadku LDAP może skutkować nieuwierzytelnionym bindem (RFC 4513) i zalogowaniem się jako znany użytkownik bez znajomości hasła. Podobny problem występuje w LinOTP, gdzie puste hasło może zostać zaakceptowane.
- CVE-2026-90898Krytyczne
Bifrost rejestruje klientów MCP przez API zarządzania, a klient stdio to polecenie wraz z argumentami, które jest uruchamiane natychmiast po dodaniu klienta, bez wymaganego uzgadniania MCP. Domyślnie uwierzytelnianie jest wyłączone (governance.auth_config.is_enabled=false), więc każdy wywołujący jest traktowany jako lokalny administrator. Pojedynczy nieuwierzytelniony POST /api/mcp/client wystarcza, aby uruchomić dowolny program jako użytkownik procesu Bifrost (appuser w oficjalnym obrazie).
Oryginalny opis (angielski, źródło NVD)
sbt is a build tool for Scala, Java, and others. From version 0.9.5 to before version 1.12.7, on Windows, sbt uses Process("cmd", "/c", ...) to run VCS commands (git, hg, svn). The URI fragment (branch, tag, revision) is user-controlled via the build definition and passed to these commands without validation. Because cmd /c interprets &, |, and ; as command separators, a malicious fragment can execute arbitrary commands. This issue has been patched in version 1.12.7.