CVE-2026-36433

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.70.0 do 1.75.1 interfejs serve/start RC akceptuje ustawienia proxyOpt.AuthProxy dla poszczególnych serwerów, ale konstruktory FTP i S3 w cmd/serve/ftp/ftp.go oraz cmd/serve/s3/server.go nieprawidłowo sprawdzają globalną wartość proxy.Opt.AuthProxy. Gdy wartość globalna jest pusta, lokalny dla żądania proxy uwierzytelniające jest ignorowane: FTP przechodzi do stałego systemu plików z użytkownikiem anonymous i dowolnym hasłem, a S3 z AuthKey udostępnia stały system plików RC zamiast backendu wybranego przez proxy. Dedykowane serwery wiersza poleceń konfigurujące opcję globalną nie są dotknięte. Problem naprawiono w wersji 1.75.1.

Przepełnienie liczb całkowitych w komponencie walidacji bufora tensorów w Amazon Deep Java Library (DJL) od wersji 0.13.0 do 0.36.0 na wszystkich platformach może pozwolić zdalnemu nieuwierzytelnionemu podmiotowi na uzyskanie informacji z sąsiedniej pamięci procesu lub spowodowanie odmowy usługi poprzez spreparowany ładunek tensora. Aby naprawić ten problem, użytkownicy powinni zaktualizować do wersji 0.37.0 lub nowszej.

Warunek wyścigu typu Time-of-check Time-of-use (TOCTOU) prowadzący do niebezpiecznego podążania za dowiązaniami symbolicznymi w Plesk umożliwia lokalną eskalację uprawnień do roota poprzez przejęcie własności dowolnego pliku lub katalogu.

Podatność typu path traversal w Menedżerze kopii zapasowych Plesk umożliwia uwierzytelnionemu klientowi zapis dowolnych plików z uprawnieniami roota.

Wstrzyknięcie poleceń systemu operacyjnego w parserze zaawansowanych reguł ConfigServer Security & Firewall pozwala zdalnemu atakującemu kontrolującemu skonfigurowane źródło allow/deny na wykonanie dowolnych poleceń jako root z powodu niewystarczającej walidacji danych reguł dostarczanych przez źródło. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.

Nieprawidłowe escapowanie adresu URL żądania w ConfigServer Security & Firewall pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń jako konto usługi CSF poprzez wstrzyknięcie poleceń powłoki. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.

Znane wersje przed 0.31.0 nieprawidłowo walidują nagłówek żądania x-opencode-directory w punkcie końcowym proxy /api/opencode. Zdalni atakujący mogą podać dowolne ścieżki katalogów, aby wykonywać operacje na plikach poza katalogiem głównym projektu w systemie hosta.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Przed wersją 1.75.1 rclone serve s3 skonfigurowany z --auth-proxy, ale bez --auth-key, pozwala authPairMiddleware zarejestrować dowolny wybrany przez klienta accessKeyID z pustym ws.s3Secret. gofakes3 następnie weryfikuje sygnaturę SigV4 żądania względem tego samego pustego sekretu, podczas gdy Server.auth przekazuje identyfikator klucza dostępu jako zarówno użytkownika, jak i wartość uwierzytelniającą do proxy bez niezależnego sekretu dla tożsamości. Nieuwierzytelniony atakujący sieciowy może zatem wybrać dowolny klucz dostępu, podpisać pustym sekretem i dotrzeć do dowolnego backendu, który skrypt auth-proxy rozwiąże dla tej tożsamości. Problem naprawiono w wersji 1.75.1.

Dell ThinOS 10 w wersjach przed 2605_10.2616 zawiera podatność niewłaściwej neutralizacji elementów specjalnych używanych w poleceniach systemu operacyjnego (wstrzyknięcie poleceń OS). Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do wykonania poleceń.

Dell ThinOS 10 w wersjach przed 2605_10.2616 zawiera podatność typu OS Command Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w poleceniach systemowych. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnych poleceń w systemie.