CVE-2026-41583
KrytyczneStreszczenie
ZEBRA, węzeł Zcash napisany w Rust, przed wersją 4.3.1 zebrad i 5.0.2 zebra-script, nieprawidłowo walidował regułę konsensusu dotyczącą typów hash dla transakcji V5, co mogło prowadzić do podziału konsensusu. Dodatkowo, dla transakcji V4, użyto błędnego typu hash, co również mogło skutkować podziałem konsensusu.
Ocena ryzyka
Organizacja może napotkać problemy z konsensusem w sieci Zcash, co prowadzi do akceptacji nieprawidłowych bloków przez węzły Zebra, a tym samym do potencjalnych strat finansowych i problemów z integralnością danych.
Rekomendacja
Zaleca się aktualizację do wersji zebrad 4.3.1 oraz zebra-script 5.0.2, aby usunąć tę podatność i zapewnić zgodność z regułami konsensusu.
Powiązane podatności
- CVE-2026-19572Krytyczne
W oprogramowaniu FlexNet Publisher lmadmin wykryto podatność w handlerze SOAP, gdzie twardo zakodowane obejście uwierzytelniania pozwala nieuwierzytelnionemu użytkownikowi uzyskać uprzywilejowaną sesję administratora bez podania prawidłowych poświadczeń.
- CVE-2026-16516Krytyczne
wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.
- CVE-2026-14911Krytyczne
Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.
- CVE-2026-19386Krytyczne
Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.
- CVE-2026-105324Krytyczne
Podatność polegająca na wstrzyknięciu nagłówków HTTP w start-page-loader.cgi systemu ADM pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z systemu hosta. Wysyłając spreparowane żądanie HTTP ze wstrzykniętymi nagłówkami przez parametr state, atakujący może wykorzystać mechanizm X-Sendfile serwera WWW do pobrania wrażliwych plików bez uwierzytelnienia.
- CVE-2026-93674Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.
- CVE-2026-104334Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej kontroli generowania kodu.
- CVE-2026-106501Krytyczne
Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.
- CVE-2026-105812Krytyczne
Niewłaściwa kontrola generowania kodu w funkcji importu agentów w Amazon Bedrock AgentCore Starter Toolkit przed wersją 0.3.14 może pozwolić uwierzytelnionemu aktorowi z tego samego konta na wykonanie dowolnego kodu, gdy użytkownik importuje i uruchamia lub wdraża Agenta Bedrock, poprzez spreparowane wartości konfiguracyjne osadzone w wygenerowanym kodzie Pythona bez bezpiecznego kodowania literałów.
- CVE-2026-79805Krytyczne
Uwierzytelniona podatność na przechodzenie po ścieżkach (path traversal) istnieje w ClearPass Policy Manager. Udane wykorzystanie może pozwolić atakującemu na odczyt i modyfikację niektórych plików w systemie operacyjnym.
Oryginalny opis (angielski, źródło NVD)
ZEBRA is a Zcash node written entirely in Rust. Prior to zebrad version 4.3.1 and prior to zebra-script version 5.0.2, after a refactoring, Zebra failed to validate a consensus rule that restricted the possible values of sighash hash types for V5 transactions which were enabled in the NU5 network upgrade. Zebra nodes could thus accept and eventually mine a block that would be considered invalid by zcashd nodes, creating a consensus split between Zebra and zcashd nodes. In a similar vein, for V4 transactions, Zebra mistakenly used the "canonical" hash type when computing the sighash while zcashd (correctly per the spec) uses the raw value, which could also crate a consensus split. This issue has been patched in zebrad version 4.3.1 and zebra-script version 5.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS