CVE-2026-53572
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
KEDA przed wersją 2.20.0 zawiera podatność w konstruowaniu stringów połączeń libpq z wartości kontrolowanych przez dzierżawcę (host, port, userName, dbName, sslmode, password). Funkcja escapePostgreConnectionParameter() cytuje tylko wartości zawierające dosłowną spację, więc tabulatory, nowe linie, powroty karetki, znaki form feed, pionowe tabulatory, cudzysłowy i backslashe mogą tworzyć dodatkowe tokeny klucz-wartość podczas parsowania przez pgx. Atakujący mogący tworzyć lub modyfikować TriggerAuthentication lub ScaledObject może wstrzyknąć parametry host lub sslmode, przekierować połączenie do kontrolowanego serwera, ujawnić poświadczenia lub wyłączyć zamierzoną ochronę TLS.
Ocena ryzyka
Ryzyko przechwycenia poświadczeń bazy danych, przekierowania połączeń do złośliwych serwerów oraz osłabienia bezpieczeństwa TLS, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj KEDA do wersji 2.20.0 lub nowszej, która zawiera poprawkę tej podatności.
Powiązane podatności
- CVE-2026-4813Krytyczne
Podatność w module eksportu XSL w Lutece Core do wersji 7.1.7 umożliwia uwierzytelnionym administratorom zdalne wykonanie kodu. Konfiguracja przetwarzania XML/XSLT nie włącza trybu bezpiecznego (FEATURE_SECURE_PROCESSING), co pozwala na wykonywanie funkcji rozszerzeń Javy ze złośliwych stylów XSL. Atakujący z uprawnieniami administratora może przesłać zmodyfikowany plik transformacji XSL i wywołać jego wykonanie podczas operacji eksportu użytkowników, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2026-78319Krytyczne
Usługa działająca na dotkniętych produktach zawiera potencjalny problem wyścigu typu Time-of-Check Time-of-Use (TOCTOU). Nieuwierzytelniony zdalny atakujący może wykorzystać ten problem wyścigu, aby ominąć zamierzone mechanizmy bezpieczeństwa. Może to skutkować wykonaniem nieautoryzowanego kodu.
- CVE-2026-83772Krytyczne
Wykryto podatność w Cobham SATCOM VSAT7090 Maritime Satellite Router do wersji 20260704. Problem dotyczy funkcji c_set_reports_decode w pliku mail-report.sh w komponencie JSON Parsing. Manipulacja argumentem sender/recipients prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-75865Krytyczne
Wtyczka WPLP Cookie Consent dla WordPressa do wersji 4.4.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji saas_upload_logo() oraz obejścia autoryzacji w punktach końcowych REST WPLP. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-67394Krytyczne
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
- CVE-2026-83524Krytyczne
W urządzeniach RedPort Optimizer wXa-203, wXa-213 i wXa-223 do wersji 20260704 wykryto podatność na wstrzykiwanie poleceń w funkcji exec pliku /xgatev1/system/datetime.php komponentu System Clock. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-82971Krytyczne
W QVidium Opera11 w wersji 3.3.2a26-Ax4x-opera11 wykryto podatność na wstrzykiwanie poleceń w pliku /cgi-bin/net_tr.cgi komponentu CGI Script, poprzez manipulację argumentem ipaddr. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent zaprzestał działalności i nie wspiera już tych produktów.
- CVE-2026-82954Krytyczne
W Dokploy do wersji 0.29.7 wykryto podatność na przechodzenie po ścieżkach (path traversal) w funkcji writeTraefikConfigInPath pliku packages/server/src/utils/traefik/application.ts komponentu Settings, poprzez manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
- CVE-2026-81780Krytyczne
W Hash Form w wersjach do 1.4.2 wykryto podatność na nieuwierzytelnione przesyłanie dowolnych plików (Arbitrary File Upload). Podatność może pozwolić atakującemu na przesłanie złośliwych plików na serwer.
Oryginalny opis (angielski, źródło NVD)
KEDA is a Kubernetes-based Event Driven Autoscaling component. Prior to 2.20.0, pkg/scalers/postgresql_scaler.go constructs libpq-style connection strings from tenant-controlled host, port, userName, dbName, sslmode, and password values, while escapePostgreConnectionParameter() only quotes values containing a literal space. Tabs, newlines, carriage returns, form feeds, vertical tabs, quotes, and backslashes can therefore create additional key-value tokens when pgx parses the string. An attacker able to create or modify a TriggerAuthentication or ScaledObject can inject host or sslmode parameters, redirect the database connection to an attacker-controlled server, expose credentials, or disable intended TLS protection. This issue is fixed in version 2.20.0.