CVE-2026-46508
WysokieStreszczenie
Wtyczka LSP Turborepo dla VS Code przed wersją 2.9.14000 mogła wykonywać polecenia powłoki na podstawie wartości kontrolowanych przez przestrzeń roboczą. Złośliwa przestrzeń robocza mogła dostarczyć spreparowane wartości, które były interpolowane w poleceniach powłoki.
Ocena ryzyka
Atakujący mógł wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami lokalnego procesu VS Code, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację wtyczki LSP Turborepo do wersji 2.9.14000 lub nowszej, aby zlikwidować tę podatność.
Powiązane podatności
- CVE-2026-78082Krytyczne
W rozszerzeniu SP Property dla Joomla (joomshaper.com) w wersjach poniżej 4.1.4 występuje nieuwierzytelniona podatność SQL Injection. Zapytania wyszukiwania i filtrowania nieruchomości (zipcode, sortowanie, price_range_dropdown, psize_range_dropdown) są budowane przez bezpośrednie doklejanie surowych parametrów żądania do zapytań SQL bez cytowania i rzutowania typów. Zdalny, nieuwierzytelniony atakujący może wykonać ślepą iniekcję SQL (boolean-based lub time-based) i wydobyć poufne dane z bazy.
- CVE-2026-8323Krytyczne
W systemie Access Control System firmy Armiya Information Technologies Ltd. Co. występuje podatność otwartego przekierowania (open redirect) na niezaufaną witrynę. Problem dotyczy wersji przed Versiyon 2 i pozwala na fałszowanie źródła danych.
- CVE-2026-88285Krytyczne
Urządzenie GeoVision GV-LPC2211 w wersji V1.13 udostępnia dostępną sieciowo usługę sterowania PTZ bez uwierzytelniania. Zdalni klienci mogą pobierać informacje o PTZ oraz wysyłać polecenia PTZ lub surowe polecenia szeregowe.
- CVE-2026-88278Krytyczne
Urządzenie GeoVision GV-LPC2211 w wersji V1.13 nie wymusza ochrony świeżości ani ponownego użycia nonce dla WS-Security UsernameToken. Przechwycony token PasswordDigest może zostać powtórnie użyty do kolejnych operacji ONVIF.
- CVE-2026-59679Krytyczne
W funkcji fs_read_glyphs() klienta serwera czcionek libXfont2 (src/fc/fserve.c) tablica encoding[] jest indeksowana liczbą num_chars z odpowiedzi FS_QueryXBitmaps16, mimo że została zaalokowana na podstawie num_extents z osobnej odpowiedzi FS_QueryXExtents16. Te dwa pola CARD32 nie są wzajemnie weryfikowane. Złośliwy lub przejęty serwer czcionek może wysłać małe num_extents (np. 1), a następnie duże num_chars (np. 100000), powodując kontrolowane przez atakującego odczyty i zapisy poza granicami sterty.
- CVE-2026-44950Krytyczne
W funkcji fs_read_glyphs() klienta serwera czcionek libXfont2 (src/fc/fserve.c) bitmapy glifów są kopiowane do jednego bufora, a istniejące sprawdzenia weryfikują jedynie, czy zakres źródłowy mieści się w buforze bitmapy źródłowej. Nie sprawdza się, czy bieżący kursor docelowy przekroczył rozmiar alokacji. Złośliwy serwer czcionek może wysłać nakładające się offsety źródłowe (np. 1000 glifów po {position:0, length:64} przy nbytes=64), co daje łącznie 64000 bajtów zapisu do bufora docelowego o rozmiarze 64 bajtów — przepełnienie bufora sterty z zawartością kontrolowaną przez atakującego.
- CVE-2026-13745Krytyczne
Podatność w Gemini CLI i powiązanej GitHub Action pozwalała nieuprzywilejowanemu atakującemu na wykonanie dowolnego kodu w Gemini CLI poprzez niezaufane lokalne pliki .env nadpisujące GEMINI_CLI_HOME.
- CVE-2026-7188Krytyczne
W systemie Access Control System firmy Armiya Information Technologies Ltd. Co. występuje podatność SQL Injection wynikająca z niewłaściwej neutralizacji znaków specjalnych w poleceniach SQL. Problem dotyczy wersji przed Versiyon 2.
- CVE-2026-19583Krytyczne
Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.
- CVE-2026-18351Krytyczne
Wtyczka Drag and Drop File Upload for Elementor Forms dla WordPressa (wszystkie wersje do 1.6.0 włącznie) jest podatna na dowolne przesyłanie plików przez funkcję elementor_file_upload. Powodem jest niewystarczająca walidacja typu pliku w is_file_type_valid(), która używa parametru 'type' kontrolowanego przez atakującego jako kluczy regex w allowliście MIME, co pozwala obejść blacklistę. Umożliwia to nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
Turborepo is a high-performance build system for JavaScript and TypeScript codebases. Prior to 2.9.14000, the Turborepo LSP VS Code extension could execute shell commands derived from workspace-controlled values. The extension used string-based command execution for Turborepo daemon commands and task runs. A malicious workspace could provide crafted values through workspace settings or task names in the repository's source code that were interpolated into shell commands. When the extension activated or when a user ran a task through the extension, those values could be interpreted by the user's shell, allowing arbitrary command execution with the privileges of the local VS Code process. This vulnerability is fixed in 2.9.14000.