CVE-2026-41586
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Hyperledger Fabric w wersjach od 1.0.0 do 2.2.26 zawiera podatność w klasie Channel.java, która implementuje metodę readObject() i eksponuje deSerializeChannel(). Metoda ta wywołuje ObjectInputStream.readObject() na nieufnych tablicach bajtów bez konfiguracji ObjectInputFilter, co prowadzi do klasycznego wzorca RCE związanym z deserializacją w Javie.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji korzystających z Hyperledger Fabric. Brak dostępnych poprawek zwiększa ryzyko wykorzystania tej luki.
Rekomendacja
Zaleca się unikanie używania podatnych wersji Hyperledger Fabric oraz monitorowanie dostępnych aktualizacji, gdyż w chwili publikacji brak jest publicznie dostępnych poprawek. Należy również rozważyć wdrożenie dodatkowych zabezpieczeń w celu ochrony przed potencjalnym wykorzystaniem tej podatności.
Powiązane podatności
- CVE-2026-107282Krytyczne
Podatność w bibliotece AsyncHttpClient (AHC) przed wersjami 3.0.13 i 2.16.1 umożliwia powtórne wysłanie żądania do innego hosta, ale pozostawia oryginalny cel i kontekst proxy. Może to spowodować wysłanie ścieżki, nagłówka Host, poświadczeń lub zwykłego tekstu do miejsca docelowego replikacji.
- CVE-2026-76268Krytyczne
Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-76501Krytyczne
Podatność w funkcji SRv6 OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcje NGOAM i SRv6 są włączone.
- CVE-2026-76500Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą zasobów w całym ich cyklu życia (CWE-664). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76499Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76498Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76486Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
- CVE-2026-76485Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
Oryginalny opis (angielski, źródło NVD)
Hyperledger Fabric is an enterprise-grade permissioned distributed ledger framework for developing solutions and applications. From versions 1.0.0 to 2.2.26, Channel.java implements readObject() and exposes deSerializeChannel() which call ObjectInputStream.readObject() on untrusted byte arrays without configuring an ObjectInputFilter. This is a classic Java deserialization RCE pattern. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS