CVE-2026-42864
KrytyczneStreszczenie
Aplikacja FireFighter do zarządzania incydentami ma lukę, która pozwala na dostęp do punktu końcowego POST /api/v2/firefighter/raid/jira_bot bez uwierzytelnienia. Umożliwia to nieautoryzowanym użytkownikom wymuszenie pobierania dowolnych URL-i i przesyłanie ich jako załączników do zgłoszeń w Jira.
Ocena ryzyka
Organizacja narażona jest na kradzież tymczasowych poświadczeń AWS, co może prowadzić do nieautoryzowanego dostępu do zasobów chmurowych. Brak odpowiedniej walidacji URL-i stwarza ryzyko wycieku danych.
Rekomendacja
Zaleca się aktualizację aplikacji FireFighter do wersji 0.0.54 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto wdrożyć odpowiednie mechanizmy uwierzytelniania i walidacji URL-i.
Powiązane podatności
- CVE-2026-19572Krytyczne
W oprogramowaniu FlexNet Publisher lmadmin wykryto podatność w handlerze SOAP, gdzie twardo zakodowane obejście uwierzytelniania pozwala nieuwierzytelnionemu użytkownikowi uzyskać uprzywilejowaną sesję administratora bez podania prawidłowych poświadczeń.
- CVE-2026-16516Krytyczne
wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.
- CVE-2026-14911Krytyczne
Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.
- CVE-2026-19386Krytyczne
Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.
- CVE-2026-105324Krytyczne
Podatność polegająca na wstrzyknięciu nagłówków HTTP w start-page-loader.cgi systemu ADM pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z systemu hosta. Wysyłając spreparowane żądanie HTTP ze wstrzykniętymi nagłówkami przez parametr state, atakujący może wykorzystać mechanizm X-Sendfile serwera WWW do pobrania wrażliwych plików bez uwierzytelnienia.
- CVE-2026-93674Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.
- CVE-2026-104334Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej kontroli generowania kodu.
- CVE-2026-106501Krytyczne
Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.
- CVE-2026-105812Krytyczne
Niewłaściwa kontrola generowania kodu w funkcji importu agentów w Amazon Bedrock AgentCore Starter Toolkit przed wersją 0.3.14 może pozwolić uwierzytelnionemu aktorowi z tego samego konta na wykonanie dowolnego kodu, gdy użytkownik importuje i uruchamia lub wdraża Agenta Bedrock, poprzez spreparowane wartości konfiguracyjne osadzone w wygenerowanym kodzie Pythona bez bezpiecznego kodowania literałów.
- CVE-2026-79805Krytyczne
Uwierzytelniona podatność na przechodzenie po ścieżkach (path traversal) istnieje w ClearPass Policy Manager. Udane wykorzystanie może pozwolić atakującemu na odczyt i modyfikację niektórych plików w systemie operacyjnym.
Oryginalny opis (angielski, źródło NVD)
FireFighter is an incident management application. Prior to 0.0.54, the POST /api/v2/firefighter/raid/jira_bot endpoint (CreateJiraBotView) is reachable without authentication (permission_classes = [permissions.AllowAny]). Its attachments payload is fetched server-side via httpx.get() with no URL validation, then uploaded as an attachment on the Jira ticket that gets created. An unauthenticated caller able to reach the ingress can coerce the pod into fetching arbitrary URLs and exfiltrate the response as a Jira attachment. On EC2/EKS deployments that do not enforce IMDSv2, this allows theft of the temporary AWS credentials attached to the pod's IAM role. The docstring on the view claims a Bearer token is required, but the code does not enforce it. This vulnerability is fixed in 0.0.54.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS