CVE-2026-46402
WysokieStreszczenie
Framework open-source Microsoft UFO do inteligentnej automatyzacji na różnych urządzeniach i platformach w wersji 3.0.1-4-ge2626659 wykorzystuje wartość task_name kontrolowaną przez użytkownika bezpośrednio przy tworzeniu ścieżek logów sesji. Uwierzytelniony klient może dostarczyć sekwencje przejścia ścieżki w task_name, co pozwala na tworzenie katalogów logów i plików logów poza zamierzonym katalogiem logs/.
Ocena ryzyka
Atakujący z dostępem do konta użytkownika może wykorzystać tę podatność do uzyskania dostępu do systemu plików, co może prowadzić do ujawnienia wrażliwych danych lub manipulacji plikami logów. To stwarza ryzyko dla integralności i poufności danych w organizacji.
Rekomendacja
Zaleca się walidację i sanitizację wartości task_name, aby zapobiec wprowadzeniu sekwencji przejścia ścieżki. Należy również ograniczyć uprawnienia do zapisu w katalogu logów tylko do zaufanych użytkowników.
Powiązane podatności
- CVE-2026-82533Krytyczne
DeepSeek Harness przed wersją 0.1.2-alpha.1 zawiera podatność na obejście uwierzytelniania w lokalnym interfejsie API HTTP, która pozwala atakującym uzyskać pełną kontrolę nad agentem poprzez dostarczenie sfałszowanego nagłówka Host. Serwer weryfikuje tylko wartość nagłówka Host, a nie rzeczywiste pochodzenie połączenia TCP.
- CVE-2026-26084Krytyczne
Podatność nieprawidłowej kontroli dostępu w Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, Cloud 5.0.4-5.0.5, PaaS 5.0.4-5.0.5) może pozwolić atakującemu na dostęp do wrażliwych informacji poprzez spreparowane żądania HTTP.
- CVE-2026-79576Krytyczne
Problem w komponencie Single-Sign On (SSO) w Digital-Infrastructure v9.6.7 pozwala atakującym na uwierzytelnienie się jako dowolny użytkownik, w tym administrator, bez podania hasła.
- CVE-2026-61516Krytyczne
Firmware Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na odzyskanie hasła administratora poprzez wysłanie żądania do akcji sysinfo w interfejsie zarządzania siecią bez ważnej sesji.
- CVE-2026-12745Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12744Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12650Krytyczne
Podatność na deserializację niezaufanych danych w Ivanti Neurons for ITSM przed wersją 2026.2 pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-12647Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-12646Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-12645Krytyczne
Brak autoryzacji w Ivanti Neurons for ITSM przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Microsoft UFO open-source framework for intelligent automation across devices and platforms. In 3.0.1-4-ge2626659, Microsoft UFO uses the user-controlled task_name value directly when constructing session log paths. An authenticated client can supply path traversal sequences in task_name and cause UFO to create log directories and log files outside the intended logs/ directory.