CVE-2026-35526

INDOTALENT WHMS przed wersją 10.20261109 zawiera podatność związaną z domyślnymi poświadczeniami, ponieważ seeder UserAdminSeeder tworzy konto [email protected] z hasłem 123456. Atakujący mogą zalogować się tymi danymi, które mają wszystkie role administratora i nie wymuszają zmiany hasła, przejmując pełną kontrolę nad wdrożeniami, w których je pozostawiono.

INDOTALENT WHMS przed wersją 10.20261109 zawiera podatność polegającą na obejściu uwierzytelniania, spowodowaną zaszytym na stałe kluczem podpisywania JWT, wystawcą i odbiorcą w pliku appsettings.json. Nieuwierzytelnieni zdalni atakujący mogą sfałszować tokeny dla dowolnego identyfikatora użytkownika i roli, którym ufa walidator Tokens/DI.cs, uzyskując dostęp administratora do całego API.

Kubero w wersjach od 3.0.0 do 3.1.1 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym sfałszować administracyjne tokeny JWT poprzez użycie zaszytego awaryjnego sekretu podpisywania, gdy JWT_SECRET nie jest ustawiony. Atakujący mogą podpisać tokeny z dowolnymi roszczeniami roli, userGroups i uprawnień, którym JwtStrategy.validate() ufa bez sprawdzania w bazie danych, przejmując kontrolę nad pipeline'ami, aplikacjami, użytkownikami i tokenami API.

W bibliotece Mongoose funkcja countDocuments() nie stosuje skonfigurowanej ochrony sanitizeFilter przed wstrzykiwaniem selektorów zapytań. Aplikacja, która włącza sanitizeFilter i przekazuje do countDocuments() wartości filtrów kontrolowane przez atakującego, może przetwarzać obiekty operatorów zapytań jako operatory zamiast wartości literalnych. Może to zaniżać lub zawyżać liczbę wyników i podważać logikę autoryzacji opartą na tej liczbie.

Witryny korzystające z craft.search do wyszukiwania są podatne na nieuwierzytelnioną iniekcję SQL na froncie. Parametr attribute jest wstawiany do zapytania bez sanityzacji, a ponieważ PDO działa z emulowanymi przygotowaniami, możliwe jest wykonanie wielu instrukcji. Podatność dotyczy wyłącznie MySQL/MariaDB i pozwala na odczyt oraz zapis bazy danych, a także eskalację uprawnień do administratora.

W pyLoad funkcja UnTar._safe_extractall waliduje ścieżki elementów archiwum i cele linków, ale nie wywołuje TarInfo.isdev, aby odrzucić specjalne typy elementów tar przed wywołaniem tarfile.extractall. W Pythonie 3.9–3.13 tarfile domyślnie używa filtra fully_trusted, więc użytkownik z uprawnieniami ADD i STATUS może spowodować rozpakowanie archiwum zawierającego urządzenia znakowe, blokowe lub FIFO. Gdy pyLoad działa z uprawnieniami systemowymi (np. oficjalny Docker jako root), może to ujawnić surowe urządzenia i naruszyć bezpieczeństwo hosta.

Signal K Server w wersjach 2.0.0–2.33.x oraz @signalk/resources-provider 1.0.0–1.5.2 posiada trasę REST GET /signalk/v2/api/resources/:resourceType/:resourceId, która przyjmuje niebezpieczny resourceId mogący wyjść poza zamierzony katalog zasobów. Brak odpowiedniego ograniczenia ścieżki pozwala na odczyt dowolnych plików JSON dostępnych dla serwera, a powiązane operacje PUT i DELETE mogą zapisywać lub usuwać pliki poza katalogiem głównym. Odczyt security.json ujawnia sekret podpisywania JWT HS256 i hasła, co umożliwia sfałszowanie tokenu administratora i dalszą eskalację.

W SuperTokens Core w wersjach od 6.0.0 do 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1 funkcja Multitenancy.checkPermissionsForCreateOrUpdate nieprawidłowo autoryzuje aktualizacje domeny nadrzędnej URI połączenia lub dzierżawy bazowej. W licencjonowanym wdrożeniu wielodostępnym z wieloma aplikacjami w ramach jednej domeny URI połączenia innej niż domyślna i oddzielnymi kluczami API atakujący posiadający ważny klucz API jednej aplikacji może zaktualizować domenę nadrzędną, a następnie zastąpić klucze aplikacji siostrzanych, czytać lub modyfikować użytkowników siostrzanych, uzyskiwać sesje jako ci użytkownicy, utrwalić dostęp przez użytkownika pulpitu nawigacyjnego siostrzanej aplikacji i zablokować własny klucz aplikacji siostrzanej. Warianty obsługi tworzenia lub aktualizacji v2 z pominięciem opcjonalnego identyfikatora tworzą cel dzierżawy bazowej, który pomija gałęzie uprawnień i bramkę funkcji enterprise, umożliwiając zmiany w firstFactors, wymaganych czynnikach dodatkowych i flagach włączonych przepisów, co wpływa na integralność i dostępność logowania. Wariant celu bazowego nadal odrzuca coreConfig i nie prowadzi do kradzieży kluczy. Problem naprawiono w wersjach 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1.

Redpanda Connect w wersjach 4.39–4.110 ma brak uwierzytelniania w API zarządzania HTTP wystawionym na 0.0.0.0:4195, co pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym do TCP/4195 na zdalne wykonanie kodu (RCE). Atakujący może wysłać złośliwą definicję pipeline do /streams/{id} z procesorami wykonującymi kod (command, subprocess, ffi, sql_raw), uzyskując wykonanie poleceń z uprawnieniami konta usługi Redpanda Connect. Od wersji 4.111 API jest domyślnie wyłączone (opt-in), ale RCE nadal jest możliwe po ręcznym włączeniu flagą --bind-http.

Tasmota do wersji 16.0.0 (naprawione w commicie e97e1e4) zawiera podatność heap out-of-bounds write w SendReceiveDeviceGroupMessage(), pozwalającą nieuwierzytelnionym atakującym w sieci lokalnej na uszkodzenie pamięci sterty poprzez wysyłanie spreparowanych wiadomości Device Groups przez UDP port 4447. Wiadomości powodują, że licznik log_remaining staje się ujemny, a zapisy przekraczają stały bufor 512 bajtów. Może to doprowadzić do awarii urządzenia lub potencjalnie wykonania kodu na platformach ESP8266 i ESP32 pozbawionych ASLR i heap cookies.