CVE-2026-48089
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
DevGuard przed wersją 1.4.2 pozwala na nieautoryzowane modyfikacje reguł VEX przez uwierzytelnionych użytkowników, w tym tych z innych organizacji, na publicznych zasobach. Użytkownicy mogą tworzyć, aktualizować, ponownie stosować i usuwać reguły VEX oraz inne powiązane zdarzenia związane z podatnościami.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowane zmiany w zarządzaniu podatnościami, co może prowadzić do błędnych decyzji dotyczących bezpieczeństwa i potencjalnych naruszeń danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.4.2, która zawiera poprawkę. Alternatywnie, należy zmienić widoczność dotkniętych zasobów z publicznych na prywatne, aby przywrócić odpowiednią autoryzację.
Powiązane podatności
- CVE-2026-86149Krytyczne
W Tenda CP3 27.5.57.101 wykryto podatność w pliku Net/NetCheckPing.cpp. Manipulacja argumentami interface_name/host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-86148Krytyczne
W Tenda CP3 27.5.57.101 wykryto podatność w funkcji SystemAsh pliku Apis/system.c komponentu Kylin. Manipulacja argumentem AlarmVoiceURL prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-86060Krytyczne
RouterOS zawiera błąd w obsłudze argumentów w ścieżce logowania SSH dotyczący nazw użytkowników rozpoczynających się od zabronionego znaku, co pozwala na zmianę zaufanej maski polityki RouterOS, prowadząc do eskalacji uprawnień. Eksploitacja wymaga nieuwierzytelnionej sesji SSH, aby dotrzeć do pomocnika logowania RouterOS. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-67276Krytyczne
RouterOS nie porównuje całego klucza publicznego RSA podczas dopasowywania żądania uwierzytelnienia SSH do autoryzowanego klucza użytkownika, sprawdzając typ klucza i moduł, ale pomijając wykładnik. Ponieważ weryfikacja podpisu używa klucza dostarczonego przez klienta, atakujący znający autoryzowany moduł RSA może dostarczyć klucz z wykładnikiem jeden, sfałszować ważny podpis i otworzyć kanał poleceń SSH jako docelowy użytkownik bez klucza prywatnego. Problem naprawiono w wersjach: 6.49.21 (Long-term), 7.23.4 (Long-term) i 7.24.2 (Stable).
- CVE-2026-86190Krytyczne
WWBN AVideo zawiera podatność uszkodzonej kontroli dostępu w punktach końcowych videoViewsInfo, która zwraca kompletne rekordy użytkowników, w tym hashe haseł, tokeny odzyskiwania i identyfikatory sesji na żywo, nieuwierzytelnionym wywołującym po podaniu parametru hash. Atakujący mogą wykorzystać ujawniony identyfikator sesji do przejęcia sesji widzów, w tym kont administratorów, oraz uzyskać wrażliwe dane osobowe wszystkich widzów.
- CVE-2026-86189Krytyczne
WWBN AVideo zawiera podatność typu path traversal w pliku notify.ffmpeg.json.php, która pozwala nieuwierzytelnionym atakującym zapisywać pliki w dowolnych lokalizacjach poprzez podanie wybranego przez siebie ścieżki w parametrze avideoRelativePath. Atakujący mogą odtworzyć dowolny wcześniej wydany szyfrogram jako token notifyCode, który jest odszyfrowywany, ale nigdy nie weryfikowany, aby ominąć uwierzytelnianie i zapisywać pliki w katalogu głównym aplikacji i podkatalogach.
- CVE-2026-86184Krytyczne
Lara Dashboard przed wersją 1.3.0 zawiera podatność obejścia uwierzytelniania w trasie screenshot-login, która pozwala nieuwierzytelnionym atakującym uwierzytelnić się jako dowolny użytkownik po adresie e-mail, gdy APP_ENV nie jest ustawione na production. Atakujący mogą wysłać żądanie GET /screenshot-login/{email} z zarejestrowanym adresem e-mail, aby otrzymać w pełni uwierzytelnioną sesję, umożliwiającą dostęp do administracji użytkownikami, ustawień, zawartości bazy danych oraz wykonanie dowolnego kodu przez instalator modułów.
- CVE-2026-10196Krytyczne
Wtyczka Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 1.31.0 włącznie, poprzez deserializację niezaufanych danych wejściowych w funkcji 'handle_form_submission'. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP. Dodatkowa obecność łańcucha POP pozwala atakującym na wykonanie kodu na serwerze. Podatność została częściowo załatana w wersji 1.23.1.
- CVE-2026-86124Krytyczne
AutoAgent zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu w serwerze TCP, który wiąże się ze wszystkimi interfejsami i wykonuje polecenia dostarczone przez atakującego jako root. Atakujący mogą połączyć się z wystawionym portem komunikacyjnym i wykonywać dowolne polecenia bash w kontenerze, uzyskując dostęp do katalogów obszaru roboczego hosta zamontowanych przez bind.
- CVE-2026-86121Krytyczne
Cua computer-server przed wersją 0.3.42 pomija uwierzytelnianie, gdy zmienna środowiskowa CONTAINER_NAME nie jest ustawiona i domyślnie wiąże się ze wszystkimi interfejsami, co pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych poleceń. Atakujący mogą dotrzeć do portu TCP 8000, aby uruchamiać polecenia powłoki przez endpoint run_command, czytać i zapisywać dowolne pliki przez endpointy operacji na plikach oraz uzyskać dostęp do interaktywnych powłok PTY bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
DevGuard provides vulnerability management for the full software supply chain. Prior to 1.4.2, on a DevGuard API instance with one or more public assets, any authenticated user — including users from a different organization with no membership or role in the affected org/project — can create, update, reapply, and delete VEX rules on those public assets. The same flaw affects the other vulnerability-triage write endpoints exposed under a public asset, including VEX rule create / update / reapply / delete; dependency-vuln event creation (accept / reject / mitigate decisions), batch event creation, vuln sync, and mitigation; license risk creation; external reference writes; and/or artifact creation and license refresh. The attacker needs a valid account on the instance, but no membership in the victim organization, project, or asset is required. Version `v1.4.2`contains a patch. As a workaround, make affected assets non-public. In the asset settings, switch visibility from public to private. This removes the public-read exemption in the access-control middleware and restores correct authorization on all write endpoints for that asset. Downstream consumers that previously relied on the public `vex.json` / `sbom.json` endpoints will need to be granted explicit access or must receive an exported file version until the patched release is deployed.