CVE-2026-50192
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Kerberos Agent to otwartoźródłowy agent do zarządzania wideo (monitoring). Przed wersją 3.6.26 ścieżka przesyłania do Kerberos Hub wysyła poświadczenia agenta Hub w niestandardowych nagłówkach X-Kerberos-Hub-PrivateKey i X-Kerberos-Hub-PublicKey do skonfigurowanego adresu URL Hub (config.HubURI). Używany klient HTTP (&http.Client{} w UploadKerberosHub) jest skonstruowany bez polityki CheckRedirect, więc automatycznie podąża za przekierowaniami HTTP. Go's net/http usuwa tylko wrażliwe nagłówki (Authorization, Cookie, WWW-Authenticate) przy przekierowaniu na inny host; nie usuwa niestandardowych nagłówków, takich jak X-Kerberos-Hub-PrivateKey. W rezultacie, jeśli skonfigurowany HubURI zwróci przekierowanie 30x na inny host, klucz prywatny Hub jest przekazywany dosłownie do celu przekierowania, ujawniając poświadczenia nieupoważnionej stronie trzeciej. Wersja 3.6.26 naprawia problem poprzez implementację CheckRedirect strip oraz test regresyjny dla przekierowań między hostami.
Ocena ryzyka
Podatność może prowadzić do ujawnienia klucza prywatnego Hub nieupoważnionej stronie trzeciej, co może umożliwić przejęcie kontroli nad agentem lub dostęp do danych monitoringu.
Rekomendacja
Zaktualizuj Kerberos Agent do wersji 3.6.26 lub nowszej. Upewnij się, że skonfigurowany HubURI jest zaufany i nie przekierowuje na zewnętrzne hosty.
Powiązane podatności
- CVE-2026-9055Krytyczne
Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) dla WordPressa w wersjach 8.0 - 9.6.2 jest podatna na eskalację uprawnień z powodu niewystarczającej walidacji parametru 'type' w punkcie końcowym aktualizacji klienta. Umożliwia to klientom ustawienie swojej roli na 'manager' i utworzenie użytkownika WordPressa z rolą wpamelia-manager, gdy parametr 'externalId' jest ustawiony na 0. Nieuwierzytelnieni atakujący mogą eskalować swoje uprawnienia do administratora, najpierw podnosząc się do roli menedżera, a następnie tworząc encję dostawcy powiązaną z ID administratora i nadpisując hasło administratora.
- CVE-2026-84699Krytyczne
Team Password Manager przed wersją 14.184.308 nie egzekwuje wymagań uwierzytelniania w procesie resetowania hasła konta lokalnego. Nieuwierzytelnieni atakujący mogą resetować hasła kont lokalnych i uwierzytelniać się jako ci użytkownicy, uzyskując nieautoryzowany dostęp.
- CVE-2026-84480Krytyczne
WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.
- CVE-2026-84479Krytyczne
WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.
- CVE-2026-84372Krytyczne
Predis, klient Redis i Valkey dla PHP, w wersjach od 3.0.0-RC1 do 3.3.0, nieprawidłowo przetwarza bufor RESP w połączeniach agregacyjnych, co pozwala atakującemu na wstrzyknięcie dodatkowych komend przez klucze lub wartości zawierające CRLF. Może to prowadzić do usunięcia danych w całym shardzie, modyfikacji danych, odczytu danych lub zakłócenia działania węzłów. Problem dotyczy tylko metody pipeline(), a transakcje nie są podatne. Luka została naprawiona w wersji 3.3.0.
- CVE-2026-75604Krytyczne
Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.
- CVE-2023-54391Krytyczne
Proxmox Virtual Environment (VE) w wersjach od 7.0 do 8.0 zawiera podatność na obejście uwierzytelniania w libpve-access-control przed 8.0.4, która pozwala nieuwierzytelnionym atakującym na zalogowanie się jako dowolny istniejący użytkownik bez skonfigurowanego drugiego czynnika, poprzez podanie dowolnej wartości tfa-challenge w API logowania. Atakujący może całkowicie pominąć weryfikację hasła, uzyskując nieautoryzowany dostęp, w tym do konta root@pam. Wszystkie dotknięte wersje są już nie wspierane.
- CVE-2026-73749Krytyczne
W demonie AOS-CX istnieje wiele podatności umożliwiających nieprawidłowe przetwarzanie źle sformułowanych danych wejściowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te luki, wysyłając specjalnie spreparowane pakiety do usługi. Skuteczna eksploitacja może prowadzić do zdalnego wykonania kodu z podwyższonymi uprawnieniami.
- CVE-2026-76658Krytyczne
W demonie SSH HPE Networking Fabric Composer wykryto podatność, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uzyskanie administracyjnego dostępu do podatnych hostów AFC. Skuteczna eksploitacja może umożliwić atakującemu wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym, prowadząc do całkowitej kompromitacji systemu.
- CVE-2026-76657Krytyczne
W API HPE Networking Fabric Composer wykryto podatności, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Skuteczna eksploitacja może umożliwić atakującemu uzyskanie uprawnień administracyjnych, prowadząc do całkowitej kompromitacji hosta Fabric Composer.
Oryginalny opis (angielski, źródło NVD)
Kerberos Agent is an open source video (surveillance) management agent. Prior to version 3.6.26, the Kerberos Hub upload path sends the agent's Hub credentials in the custom `X-Kerberos-Hub-PrivateKey` and `X-Kerberos-Hub-PublicKey` request headers to the operator-configured Hub URL (`config.HubURI`). The HTTP client used (`&http.Client{}` in `UploadKerberosHub`) is constructed without a `CheckRedirect` policy, so it follows HTTP redirects automatically. Go's `net/http` strips only sensitive headers (`Authorization`, `Cookie`, `WWW-Authenticate`) on a cross-host redirect; it does not strip custom headers such as `X-Kerberos-Hub-PrivateKey`. As a result, if the configured `HubURI` returns a cross-host 30x redirect, the Hub private key is forwarded verbatim to the redirect target, disclosing the credential to an unintended third party. Version 3.6.26 fixes the issue by implementing the `CheckRedirect` strip plus a cross-host regression test is provided to the maintainer through the advisory's private temporary fork.