CVE-2026-5396
WysokieStreszczenie
Wtyczka Fluent Forms dla WordPressa jest podatna na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika we wszystkich wersjach do i włącznie z 6.1.21. Klasa SubmissionPolicy autoryzuje działania na poziomie zgłoszenia na podstawie parametru zapytania `form_id` dostarczonego przez użytkownika.
Ocena ryzyka
Zagrożenie polega na tym, że uwierzytelnieni atakujący z ograniczonym dostępem do menedżera Fluent Forms mogą uzyskać dostęp do zgłoszeń formularzy, do których nie mają uprawnień, co prowadzi do potencjalnego wycieku danych lub nieautoryzowanych zmian.
Rekomendacja
Zaleca się aktualizację wtyczki Fluent Forms do najnowszej wersji oraz przegląd i wzmocnienie polityki autoryzacji dla działań na poziomie zgłoszenia.
Powiązane podatności
- CVE-2026-88044Krytyczne
rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.70.0 do 1.75.1 interfejs serve/start RC akceptuje ustawienia proxyOpt.AuthProxy dla poszczególnych serwerów, ale konstruktory FTP i S3 w cmd/serve/ftp/ftp.go oraz cmd/serve/s3/server.go nieprawidłowo sprawdzają globalną wartość proxy.Opt.AuthProxy. Gdy wartość globalna jest pusta, lokalny dla żądania proxy uwierzytelniające jest ignorowane: FTP przechodzi do stałego systemu plików z użytkownikiem anonymous i dowolnym hasłem, a S3 z AuthKey udostępnia stały system plików RC zamiast backendu wybranego przez proxy. Dedykowane serwery wiersza poleceń konfigurujące opcję globalną nie są dotknięte. Problem naprawiono w wersji 1.75.1.
- CVE-2026-85228Krytyczne
Przepełnienie liczb całkowitych w komponencie walidacji bufora tensorów w Amazon Deep Java Library (DJL) od wersji 0.13.0 do 0.36.0 na wszystkich platformach może pozwolić zdalnemu nieuwierzytelnionemu podmiotowi na uzyskanie informacji z sąsiedniej pamięci procesu lub spowodowanie odmowy usługi poprzez spreparowany ładunek tensora. Aby naprawić ten problem, użytkownicy powinni zaktualizować do wersji 0.37.0 lub nowszej.
- CVE-2026-68488Krytyczne
Warunek wyścigu typu Time-of-check Time-of-use (TOCTOU) prowadzący do niebezpiecznego podążania za dowiązaniami symbolicznymi w Plesk umożliwia lokalną eskalację uprawnień do roota poprzez przejęcie własności dowolnego pliku lub katalogu.
- CVE-2026-68487Krytyczne
Podatność typu path traversal w Menedżerze kopii zapasowych Plesk umożliwia uwierzytelnionemu klientowi zapis dowolnych plików z uprawnieniami roota.
- CVE-2026-65639Krytyczne
Wstrzyknięcie poleceń systemu operacyjnego w parserze zaawansowanych reguł ConfigServer Security & Firewall pozwala zdalnemu atakującemu kontrolującemu skonfigurowane źródło allow/deny na wykonanie dowolnych poleceń jako root z powodu niewystarczającej walidacji danych reguł dostarczanych przez źródło. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
- CVE-2026-65638Krytyczne
Nieprawidłowe escapowanie adresu URL żądania w ConfigServer Security & Firewall pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń jako konto usługi CSF poprzez wstrzyknięcie poleceń powłoki. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
- CVE-2026-88899Krytyczne
Znane wersje przed 0.31.0 nieprawidłowo walidują nagłówek żądania x-opencode-directory w punkcie końcowym proxy /api/opencode. Zdalni atakujący mogą podać dowolne ścieżki katalogów, aby wykonywać operacje na plikach poza katalogiem głównym projektu w systemie hosta.
- CVE-2026-88018Krytyczne
rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Przed wersją 1.75.1 rclone serve s3 skonfigurowany z --auth-proxy, ale bez --auth-key, pozwala authPairMiddleware zarejestrować dowolny wybrany przez klienta accessKeyID z pustym ws.s3Secret. gofakes3 następnie weryfikuje sygnaturę SigV4 żądania względem tego samego pustego sekretu, podczas gdy Server.auth przekazuje identyfikator klucza dostępu jako zarówno użytkownika, jak i wartość uwierzytelniającą do proxy bez niezależnego sekretu dla tożsamości. Nieuwierzytelniony atakujący sieciowy może zatem wybrać dowolny klucz dostępu, podpisać pustym sekretem i dotrzeć do dowolnego backendu, który skrypt auth-proxy rozwiąże dla tej tożsamości. Problem naprawiono w wersji 1.75.1.
- CVE-2026-81468Krytyczne
Dell ThinOS 10 w wersjach przed 2605_10.2616 zawiera podatność niewłaściwej neutralizacji elementów specjalnych używanych w poleceniach systemu operacyjnego (wstrzyknięcie poleceń OS). Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do wykonania poleceń.
- CVE-2026-81467Krytyczne
Dell ThinOS 10 w wersjach przed 2605_10.2616 zawiera podatność typu OS Command Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w poleceniach systemowych. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnych poleceń w systemie.
Oryginalny opis (angielski, źródło NVD)
The Fluent Forms plugin for WordPress is vulnerable to Authorization Bypass Through User-Controlled Key in all versions up to, and including, 6.1.21. This is due to the SubmissionPolicy class authorizing submission-level actions (read, modify, delete, add notes) based on a user-supplied `form_id` query parameter. This makes it possible for authenticated attackers, with Fluent Forms Manager access restricted to specific forms, to read, modify status, add notes to, and permanently delete form submissions belonging to any other form by spoofing the form_id parameter to a form they are authorized for.