CVE-2026-54150
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W next-video przed wersją 2.8.1 endpoint GET eksportowany przez next-video/request-handler, często montowany pod /api/video, przyjmuje nieuwierzytelniony parametr zapytania url, a funkcja isRemote() traktuje każdą wartość bez prefiksu HTTP/HTTPS jako ścieżkę lokalną. Wartość przechodzi przez getAssetPath() do loadAsset(), który dodaje sufiks JSON i używa fs.readFile bez kanonizacji ścieżki ani weryfikacji, że pozostaje w skonfigurowanym folderze wideo.
Ocena ryzyka
Zdalny atakujący może wyjść poza zamierzony katalog zasobów i odczytać pliki JSON dostępne dla procesu aplikacji, w tym materiały szyfrujące server-action Next.js, klucze trybu podglądu, manifesty buildów i metadane tras. Aplikacje nieeksponujące runtime request handlera nie są narażone przez tę trasę.
Rekomendacja
Zaktualizuj next-video do wersji 2.8.1. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu /api/video.
Powiązane podatności
- CVE-2026-119757Krytyczne
BTCPay Server przed 2.4.2 (w tym wersje release candidate 2.4.2) zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym zdalnym atakującym pobrać pliki poświadczeń .macaroon dla węzła LND. Ujawniony macaroon umożliwia pełną kontrolę nad węzłem LND, w tym przenoszenie środków, co prowadzi do kradzieży funduszy.
- CVE-2026-111494Krytyczne
Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.
- CVE-2026-111490Krytyczne
W API MatchPoint występuje podatność IDOR polegająca na poleganiu na nagłówku HTTP `actingasuser` bez weryfikacji uprawnień żądającego do wskazanego użytkownika. Manipulacja sekwencyjnymi identyfikatorami umożliwia dostęp do danych osobowych, bankowych i finansowych, prywatnych wiadomości oraz kodów QR do dostępu fizycznego, a także modyfikację kont innych osób, zmianę haseł, podszywanie się i transfer wirtualnych sald.
- CVE-2026-111489Krytyczne
W aplikacji mobilnej MatchPoint osadzono statyczne poświadczenie, które zwraca token 'autorizado'. Zgodnie z raportem token ten zapewnia nieuwierzytelniony dostęp do usług API.
- CVE-2026-85076Krytyczne
W Cronicle przed wersją 0.9.124 uwierzytelniony użytkownik niebędący administratorem z uprawnieniami run_events, create_events lub edit_events może podać nieoczekiwane klucze w parametrach zdarzenia przez api_create_event, api_update_event lub api_run_event. Klucz kolidujący z wrażliwą zmienną środowiskową może nadpisać kontekst wykonania wtyczki i spowodować eskalację uprawnień, wykonanie kodu, dostęp do danych lub zakłócenie usługi.
- CVE-2026-48705Krytyczne
W MONAI przed wersją 1.6.1 funkcja PydicomReader._get_affine() ufa wartościom nieskończonym w polach DICOM PixelSpacing, ImagePositionPatient i ImageOrientationPatient i składa je w macierz afiniczna bez walidacji. Nieuwierzytelniony atakujący mogący przesłać spreparowany plik DICOM do domyślnego wdrożenia MONAILabel może propagować wartości NaN lub nieskończoność, powodując błędy wnioskowania, trwałe zatrucie magazynu danych lub zniekształcone wyniki.
- CVE-2026-46350Krytyczne
W dcmjs przed wersją 0.52.0 implementacje DecimalString i IntegerString w src/ValueRepresentation.js sanityzują tekst permisywnym wyrażeniem regularnym i przekazują wynik do konstruktora Number bez walidacji skończoności i reguł DICOM. Przepełnienie notacji naukowej w polu DS lub IS może dać Infinity lub NaN, a IntegerString akceptuje notację wykładniczą i wartości spoza zakresu 32-bitowego. Aplikacje ufające tym wartościom mogą propagować nieprawidłowe liczby do geometrii, okienkowania, skalowania dawki i rekonstrukcji objętości.
- CVE-2026-116790Krytyczne
FreeSWITCH przed wersją 1.11.2 akceptuje wszystkie testy łączności ICE bez kryptograficznej weryfikacji atrybutu STUN MESSAGE-INTEGRITY. Zdalny atakujący może sfałszować test łączności ICE bez poświadczeń SDP, nominować własny adres i przekierować ruch RTP/DTLS, co umożliwia podsłuchiwanie i wstrzykiwanie mediów na niezaszyfrowanych połączeniach.
- CVE-2026-116785Krytyczne
FreeSWITCH przed wersją 1.11.2 ma błąd w funkcji ws_read_frame(), która dekoduje 64-bitową długość ładunku WebSocket z 32-bitową zamianą bajtów i zawęża wynik do typu signed. Wartość, której dolne słowo staje się ujemne, omija sprawdzenie rozmiaru i jest reinterpretowana jako ogromna liczba unsigned, powodując nadpisanie pamięci poza buforem odbioru 64 KiB. Może to uszkodzić wskaźniki połączeń i spowodować awarię FreeSWITCH, kończąc wszystkie sesje.
- CVE-2026-116779Krytyczne
FreeSWITCH przed wersją 1.11.3 w funkcji sofia_presence_handle_sip_i_message() dzieli użytkownika To przychodzącego komunikatu SIP MESSAGE na znaku plus i traktuje lewą stronę jako selektor protokołu czatu. Wybór api chat proto prowadzi do switch_api_execute(), pozwalając peerowi, którego MESSAGE został zaakceptowany, na uruchamianie poleceń API FreeSWITCH, w tym poleceń systemowych, z uprawnieniami demona. Podatność jest aktywnie wykorzystywana w środowisku.
Oryginalny opis (angielski, źródło NVD)
next-video is a library for adding video to Next.js applications. Prior to 2.8.1, the GET endpoint exported by next-video/request-handler and commonly mounted at /api/video accepts an unauthenticated url query parameter, while src/utils/utils.ts isRemote() treats any value without an HTTP or HTTPS prefix as a local path. src/request-handler.ts passes that value through src/assets.ts getAssetPath() to src/config.ts loadAsset(), which appends a JSON suffix and uses fs.readFile without canonicalizing the path or verifying that it remains inside the configured video folder. A remote attacker can therefore escape the intended asset directory and read JSON files accessible to the application process, including Next.js server-action encryption material, preview-mode keys, build manifests, route metadata, absolute paths, and application video asset identifiers. Applications that do not expose the runtime request handler are not affected through this route. This issue is fixed in version 2.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS