CVE-2026-41485
WysokieStreszczenie
Kyverno to silnik polityk zaprojektowany dla zespołów inżynieryjnych platform chmurowych. W wersjach przed 1.17.2 i 1.16.4, niekontrolowane przypisanie typu w obsłudze mutacji `forEach` pozwala użytkownikom z uprawnieniami do tworzenia `Policy` lub `ClusterPolicy` na spowodowanie awarii kontrolera w tle, co prowadzi do trwałego stanu CrashLoopBackOff.
Ocena ryzyka
Podatność ta może prowadzić do zablokowania operacji na zasobach w klastrze oraz do ciągłych awarii kontrolera, co wpływa na dostępność usług w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.17.2 lub 1.16.4, aby usunąć tę podatność i przywrócić stabilność działania kontrolera.
Powiązane podatności
- CVE-2026-87719Krytyczne
GitLab EE w wersjach od 18.3 przed 19.1.8, 19.2 przed 19.2.6 oraz 19.3 przed 19.3.2 zawiera podatność, która w pewnych warunkach pozwala uwierzytelnionemu użytkownikowi z dostępem do Duo Chat uzyskać konfiguracje instancji Advanced Search oraz poufne poświadczenia. Wykorzystanie polega na specjalnie spreparowanym argumencie subskrypcji GraphQL omijającym serializację i wykonującym wyszukiwanie obiektów serwera.
- CVE-2026-85706KrytyczneAktywnie exploitowane
GitLab CE/EE w wersjach od 18.7 przed 19.1.8, 19.2 przed 19.2.6 oraz 19.3 przed 19.3.2 zawiera podatność w API commitów repozytorium, wynikającą z niewłaściwego ograniczenia ścieżek i braku wymuszenia uwierzytelniania. W pewnych warunkach nieuwierzytelniony użytkownik mógł odczytać dowolne pliki z serwera GitLab.
- CVE-2026-90456Krytyczne
Przykładowy plik konfiguracyjny dołączonego komponentu do zarządzania zapasami zawiera stałe, publicznie znane hasło administracyjne. Wdrożenie, które skopiuje ten przykładowy plik do aktywnej konfiguracji bez uruchomienia procedury inicjalizacyjnej regenerującej poświadczenia, ujawni interfejs administracyjny komponentu każdemu znającemu domyślną wartość.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
- CVE-2026-79395Krytyczne
Weryfikacja WS-Security (wsse:UsernameToken) w demonie Sofia IPC w kamerach IP Xiongmai z firmware XM530 HMT.CM2005-v220608.1837 i starszym ma błąd uwierzytelniania. Zdalny atakujący może ominąć uwierzytelnianie i wykonać uprzywilejowane akcje ONVIF (m.in. sterowanie PTZ, pobranie URL strumienia, restart systemu) wysyłając spreparowane żądanie SOAP z nazwą admin i dowolnym hasłem, gdy zapisane hasło konta jest puste.
- CVE-2026-62105Krytyczne
Wtyczka ThemeREX Addons w wersjach starszych niż 2.45.0 jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).
- CVE-2026-62103Krytyczne
Wtyczka Everest Forms w wersjach 3.6.0 i starszych jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).
- CVE-2026-54072Krytyczne
W Authorizerze przed wersją 2.2.1 endpoint /authorize akceptuje dowolny redirect_uri bez walidacji względem AllowedOrigins. Przy response_type=token lub response_type=id_token serwer dołącza access_token, id_token i refresh_token jako parametry zapytania i wykonuje przekierowanie 302 na adres atakującego. Nieuwierzytelniony atakujący może uzyskać client_id z publicznego endpointu /graphql.
- CVE-2026-82617Krytyczne
Wbudowane wzorce wyszukiwania nazw EMAIL i URL w Apache OpenNLP zawierają niejednoznaczne zagnieżdżone kwantyfikatory, co umożliwia atak ReDoS. Przygotowany tekst wejściowy może wywołać superliniowe cofanie (backtracking) lub rekurencję matchera, prowadząc do wyczerpania CPU lub błędu StackOverflowError. Podatność dotyczy wersji od 2.0.0 do 2.5.11 oraz od 3.0.0-M1 do 3.0.0-M5.
- CVE-2026-72710Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność zdalnego wykonania kodu w akcji editer_objet, gdzie parametr arg rozwiązuje nazwy tabel SQL bez egzekwowania listy dozwolonych edytowalnych kolumn. Atakujący z ważnym nonce może wstrzyknąć kontrolowane wiersze do tabeli spip_jobs, a następnie dostarczyć arg=job/0 ze spreparowanymi wartościami fonction i args, które są deserializowane i wykonywane podczas opróżniania kolejki zadań cron.
Oryginalny opis (angielski, źródło NVD)
Kyverno is a policy engine designed for cloud native platform engineering teams. Prior to versions 1.17.2 and 1.16.4, an unchecked type assertion in the `forEach` mutation handler allows any user with permission to create a `Policy` or `ClusterPolicy` to crash the cluster-wide background controller into a persistent CrashLoopBackOff. The same bug also causes the admission controller to drop connections and block all matching resource operations. The crash loop persists until the policy is deleted. The vulnerability is confined to the legacy engine, and CEL-based policies are unaffected. Versions 1.17.2 and 1.16.4 fix the issue.