CVE-2026-45799
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Wire (gRPC/protobuf) dla Androida, Kotlina, Swifta i Javy. W wersjach przed 6.3.0 i 7.0.0-alpha03, metody skipGroup() nie sprawdzają, czy długość pola LENGTH_DELIMITED jest nieujemna, co może prowadzić do ArrayIndexOutOfBoundsException i awarii usług dekodujących niezaufane dane.
Ocena ryzyka
Ryzyko awarii usług używających Wire do dekodowania protobuf z niezaufanych źródeł, co może prowadzić do przerwania działania aplikacji.
Rekomendacja
Zaktualizuj bibliotekę Wire do wersji 6.3.0 lub 7.0.0-alpha03. Unikaj dekodowania niezaufanych danych protobuf bez walidacji.
Powiązane podatności
- CVE-2026-9055Krytyczne
Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) dla WordPressa w wersjach 8.0 - 9.6.2 jest podatna na eskalację uprawnień z powodu niewystarczającej walidacji parametru 'type' w punkcie końcowym aktualizacji klienta. Umożliwia to klientom ustawienie swojej roli na 'manager' i utworzenie użytkownika WordPressa z rolą wpamelia-manager, gdy parametr 'externalId' jest ustawiony na 0. Nieuwierzytelnieni atakujący mogą eskalować swoje uprawnienia do administratora, najpierw podnosząc się do roli menedżera, a następnie tworząc encję dostawcy powiązaną z ID administratora i nadpisując hasło administratora.
- CVE-2026-84699Krytyczne
Team Password Manager przed wersją 14.184.308 nie egzekwuje wymagań uwierzytelniania w procesie resetowania hasła konta lokalnego. Nieuwierzytelnieni atakujący mogą resetować hasła kont lokalnych i uwierzytelniać się jako ci użytkownicy, uzyskując nieautoryzowany dostęp.
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
- CVE-2026-84372Krytyczne
Predis, klient Redis i Valkey dla PHP, w wersjach od 3.0.0-RC1 do 3.3.0, nieprawidłowo przetwarza bufor RESP w połączeniach agregacyjnych, co pozwala atakującemu na wstrzyknięcie dodatkowych komend przez klucze lub wartości zawierające CRLF. Może to prowadzić do usunięcia danych w całym shardzie, modyfikacji danych, odczytu danych lub zakłócenia działania węzłów. Problem dotyczy tylko metody pipeline(), a transakcje nie są podatne. Luka została naprawiona w wersji 3.3.0.
- CVE-2026-75604Krytyczne
Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.
- CVE-2023-54391Krytyczne
Proxmox Virtual Environment (VE) w wersjach od 7.0 do 8.0 zawiera podatność na obejście uwierzytelniania w libpve-access-control przed 8.0.4, która pozwala nieuwierzytelnionym atakującym na zalogowanie się jako dowolny istniejący użytkownik bez skonfigurowanego drugiego czynnika, poprzez podanie dowolnej wartości tfa-challenge w API logowania. Atakujący może całkowicie pominąć weryfikację hasła, uzyskując nieautoryzowany dostęp, w tym do konta root@pam. Wszystkie dotknięte wersje są już nie wspierane.
- CVE-2026-73749Krytyczne
W demonie AOS-CX istnieje wiele podatności umożliwiających nieprawidłowe przetwarzanie źle sformułowanych danych wejściowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te luki, wysyłając specjalnie spreparowane pakiety do usługi. Skuteczna eksploitacja może prowadzić do zdalnego wykonania kodu z podwyższonymi uprawnieniami.
- CVE-2026-76658Krytyczne
W demonie SSH HPE Networking Fabric Composer wykryto podatność, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uzyskanie administracyjnego dostępu do podatnych hostów AFC. Skuteczna eksploitacja może umożliwić atakującemu wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym, prowadząc do całkowitej kompromitacji systemu.
- CVE-2026-76657Krytyczne
W API HPE Networking Fabric Composer wykryto podatności, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Skuteczna eksploitacja może umożliwić atakującemu uzyskanie uprawnień administracyjnych, prowadząc do całkowitej kompromitacji hosta Fabric Composer.
Oryginalny opis (angielski, źródło NVD)
Wire provides gRPC and protocol buffers for Android, Kotlin, Swift, and Java. Prior to 6.3.0 and 7.0.0-alpha03, ByteArrayProtoReader32.skipGroup() and ProtoReader.skipGroup() in wire-runtime do not validate that a LENGTH_DELIMITED field length is non-negative before skip(), allowing a crafted protobuf varint encoding -128 as a signed Int to make skip(-128) move the internal position negative and make the next readByte() throw ArrayIndexOutOfBoundsException instead of the documented IOException or ProtocolException, which can crash services using ProtoAdapter.decode(byte[]) on untrusted payloads. This issue is fixed in versions 6.3.0 and 7.0.0-alpha03.