CVE-2026-34715
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W ewe (Gleam web server) przed wersją 3.0.6 funkcja encode_headers w src/ewe/internal/encoder.gleam bezpośrednio interpoluje klucze i wartości nagłówków odpowiedzi do surowych bajtów HTTP bez walidacji lub usuwania sekwencji CRLF (\r\n). Aplikacja przekazująca dane kontrolowane przez użytkownika do nagłówków odpowiedzi (np. ustawiająca nagłówek Location z parametru żądania) pozwala atakującemu na wstrzyknięcie dowolnej treści odpowiedzi HTTP, prowadząc do response splitting, cache poisoning i potencjalnie XSS.
Ocena ryzyka
Atakujący może manipulować odpowiedziami HTTP, co może prowadzić do zatrucia pamięci podręcznej, przechwytywania sesji lub wstrzykiwania skryptów.
Rekomendacja
Należy zaktualizować ewe do wersji 3.0.6 lub nowszej oraz unikać przekazywania danych użytkownika do nagłówków odpowiedzi bez walidacji.
Powiązane podatności
- CVE-2026-97670Krytyczne
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.
- CVE-2026-103889Krytyczne
Wtyczka 3D Product configurator dla WooCommerce do wersji 2.16.2 włącznie jest podatna na zdalne wykonanie kodu przez parametr 'xpv_image'. Brak uwierzytelniania i kontroli nonce w handlerze wp_loaded oraz brak sanityzacji parametru przed wstawieniem do szablonu HTML renderowanego przez Dompdf z włączonym PHP umożliwia nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-94589Krytyczne
Wtyczka Extensions For CF7 do wersji 3.4.5 włącznie jest podatna na dowolne wgrywanie plików przez funkcję extcf7_submit. Brak walidacji rozszerzenia, typu MIME i rozmiaru pliku w polu podpisu, brak zabezpieczeń przed wykonywaniem PHP w katalogu upload oraz obejście sanitize_file_name() umożliwiają nieuwierzytelnionym atakującym wgrywanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-104732Krytyczne
Wtyczka Advanced IP Blocker do wersji 8.13.13 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_login_action() nie sprawdza po stronie serwera, czy użytkownik przeszedł pierwszy etap logowania hasłem, a błąd w funkcji generuje nonce dla każdego nieuwierzytelnionego wywołania. Umożliwia to atakującym brute-force'owanie 6-cyfrowego kodu TOTP bez ograniczeń i uzyskanie w pełni uwierzytelnionej sesji dla dowolnego konta z włączoną 2FA, w tym administratorów.
- CVE-2026-108474Krytyczne
W JetBrains Exposed przed wersją 1.5.1 możliwy był atak SQL injection przez niepoprawnie escapowane argumenty string w kilku funkcjach SQL.
- CVE-2026-108269Krytyczne
W wersjach przed 0.5.0 biblioteki Remote Attestation TLS Clients dla Rusta i Go, weryfikatory wyzwań RA-TLS akceptowały cytaty (quote) powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący, który zdobył klucz prywatny TLS enklawy, mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w wersji 0.5.0.
- CVE-2026-108268Krytyczne
W wersjach przed tdx-v0.2.43 i tdx-gpu-v0.6.27, Enclave OS Virtual umieszczał hash klucza publicznego certyfikatu i nonce klienta w polu ReportData cytatu, ale pomijał wartość powiązaną z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w tdx-v0.2.43 i tdx-gpu-v0.6.27.
- CVE-2026-108267Krytyczne
W wersjach przed privasys-v0.5.1-go1.26.5, Privasys Go (fork języka Go z obsługą RA-TLS) w trybie wyzwania wiązał pole ReportData cytatu z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.5.1-go1.26.5.
- CVE-2026-108266Krytyczne
W wersjach przed privasys-v0.8.1, Privasys rustls (fork biblioteki rustls z obsługą RA-TLS) emitował certyfikaty wyzwania RA-TLS, których pole ReportData cytatu było powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.8.1.
Oryginalny opis (angielski, źródło NVD)
ewe is a Gleam web server. Prior to version 3.0.6, the encode_headers function in src/ewe/internal/encoder.gleam directly interpolates response header keys and values into raw HTTP bytes without validating or stripping CRLF (\r\n) sequences. An application that passes user-controlled data into response headers (e.g., setting a Location redirect header from a request parameter) allows an attacker to inject arbitrary HTTP response content, leading to response splitting, cache poisoning, and possible cross-site scripting. Notably, ewe does validate CRLF in incoming request headers via validate_field_value() in the HTTP/1.1 parser — but provides no equivalent protection for outgoing response headers in the encoder. This issue has been patched in version 3.0.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS