CVE-2026-39054
WysokieStreszczenie
Oinone Pamirs w wersji 7.0.0 zawiera podatność na wstrzykiwanie poleceń w metodzie CommandHelper.executeCommands. Metoda ta uruchamia proces powłoki i zapisuje ciągi poleceń kontrolowane przez atakującego bez ich oczyszczania.
Ocena ryzyka
W przypadku podatnych wdrożeń może to prowadzić do wykonania dowolnych poleceń systemu operacyjnego, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Oinone Pamirs, która eliminuje tę podatność, oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed wstrzykiwaniem poleceń.
Inne podatności w Oinone Pamirs 7.0.0
Zobacz wszystkie- CVE-2026-8736Średnie
W Oinone Pamirs do wersji 7.2.0 wykryto podatność w funkcji request.getParameter pliku LocalFileClient.java (komponent RestController). Manipulacja argumentem uniqueFileName prowadzi do path traversal. Atak może być przeprowadzony na fizycznym urządzeniu, a exploit jest publicznie dostępny.
- CVE-2026-8735Średnie
W Oinone Pamirs do wersji 7.2.0 występuje podatność w funkcji JsonUtils.parseMap pliku PamirsParserConfig.java w komponencie appConfigQuery Interface. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Oinone Pamirs 7.0.0 contains a command injection vulnerability in CommandHelper.executeCommands. The method starts a shell process and writes attacker-controlled command strings directly to the process standard input without sanitization. In affected deployments, this can result in arbitrary operating system command execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS